Quels tests de sécurité faites-vous dans le cadre d'une QA normale, sans être spécialiste sécurité ?

Concentrez-vous sur ce que les tests fonctionnels atteignent naturellement. Testez l'autorisation en demandant les ressources d'un autre utilisateur avec un jeton valide, vérifiez que les identifiants dans les URL ne peuvent pas être simplement échangés, essayez des charges d'injection dans les entrées qui atteignent une requête ou un gabarit, confirmez que les données sensibles ne sont ni dans les logs ni dans les URL, vérifiez l'expiration de session et la déconnexion, et contrôlez les en-têtes de sécurité et l'imposition de TLS.

Je me concentre sur les classes que je peux atteindre depuis des tests normaux, et en tête de liste vient le contrôle d'accès défaillant, parce qu'il est courant et qu'il est grave. Le test concret est simple : je me connecte avec un utilisateur, je note l'identifiant dans une URL ou une charge utile, puis je rejoue la requête avec le jeton valide d'un second utilisateur et je regarde si l'objet revient. Je fais la même chose pour les frontières de rôle, donc un utilisateur standard qui frappe directement un endpoint d'administration plutôt que de passer par un bouton caché. Vient ensuite l'injection partout où une entrée atteint une requête, un gabarit ou un shell, plus le cross site scripting stocké où une valeur est rendue ailleurs dans l'application, le cas que les gens ratent parce qu'ils ne regardent que le champ dans lequel ils ont tapé. Puis l'exposition de données : valeurs sensibles dans les URL, dans les logs, dans les traces d'erreur renvoyées au client, ou dans une réponse qui transporte bien plus de champs que ce que l'interface affiche. La gestion de session, donc une déconnexion qui invalide côté serveur et des jetons qui expirent réellement. Et je vérifie les en-têtes et l'imposition de TLS, ce qui est rapide. Tout ce qui approche un vrai test d'intrusion, je le fais remonter, parce que prétendre le contraire donne une fausse assurance.