Sécurité de l’upload de fichiers
Définition (sécurité de l’upload de fichiers) : la sécurité de l’upload de fichiers regroupe les contrôles qui empêchent un fichier envoyé sur un site (CV, photo, plan, justificatif) d’être utilisé pour l’attaquer ou pour exposer des données personnelles.
Une fonction d’envoi de fichiers mal protégée peut permettre à un attaquant de déposer un script malveillant et de prendre le contrôle du site. Les fichiers reçus contiennent aussi souvent des données sensibles à protéger.
Les contrôles indispensables :
- Une liste blanche des formats autorisés, vérifiés sur leur contenu réel.
- Une limite de taille adaptée à l’usage.
- Un renommage systématique des fichiers reçus.
- Un stockage hors de la zone publique, sans droit d’exécution.
En pratique : faites l’inventaire des formulaires et des fonctions qui acceptent des fichiers sur votre site, y compris ceux des extensions. Pour chacun, vérifiez les formats acceptés, l’emplacement de stockage et la durée de conservation. Bloquez l’exécution de scripts dans le dossier de téléversement, ajoutez une analyse antivirus si possible et supprimez les fichiers une fois traités.
Les erreurs fréquentes :
- Vérifier uniquement l’extension du fichier.
- Stocker les fichiers dans un dossier accessible par une simple URL.
- Conserver indéfiniment les CV et justificatifs reçus.
Comment Aurone vous accompagne : nous auditons et sécurisons les formulaires de dépôt de fichiers de votre site, côté serveur comme côté CMS. Découvrez notre offre de protection de site web.
Par où commencer : consultez nos articles sur la sécurité web, les formulaires et WordPress.
Nos conseils à propos de la sécurité de l’upload :
