Sécurité applicative (AppSec).

La sécurité applicative regroupe l'ensemble des personnes, des processus et des outils mobilisés pour maintenir les logiciels exempts de faiblesses exploitables et capables de se défendre en production. Elle couvre la modélisation des menaces, la conception sécurisée, les standards de codage sécurisé, la revue de code, les tests automatisés (SAST, DAST, IAST, SCA), l'hygiène des dépendances et les protections runtime comme les WAF et le RASP. Les équipes AppSec collaborent avec l'ingénierie pour intégrer des contrôles de sécurité dans les pipelines CI/CD, afin que les vulnérabilités soient détectées au plus tôt, lorsqu'elles sont les moins coûteuses à corriger. L'objectif n'est pas la perfection mais un risque acceptable : trouver l'équilibre entre vitesse de livraison, surface d'attaque et impact métier d'une compromission potentielle.

Cette discipline a gagné en urgence à la suite d'incidents ayant transformé une seule faille de code en violation de masse. La compromission d'Equifax en 2017, portant sur environ 147 millions d'enregistrements, est imputable à une faille d'exécution de code à distance non corrigée dans Apache Struts (CVE-2017-5638) : un échec de composition logicielle et de gestion des correctifs. Log4Shell (CVE-2021-44228, CVSS 10.0) a ensuite montré comment une seule bibliothèque de journalisation pouvait exposer des dizaines de milliers d'organisations à l'exécution de code à distance presque du jour au lendemain, faisant de l'analyse de composition logicielle (SCA) et de la nomenclature logicielle (SBOM) des préoccupations de niveau direction. Les programmes modernes priorisent les découvertes au regard de l'OWASP Top 10 (2021) et du CWE Top 25, et évaluent de plus en plus l'exploitabilité réelle avec l'EPSS et le catalogue CISA KEV plutôt que le seul CVSS.

flowchart LR
  A[Modélisation des menaces et conception sécurisée] --> B[Codage sécurisé]
  B --> C[SAST / SCA dans la CI]
  C --> D{Le contrôle passe ?}
  D -- Non --> B
  D -- Oui --> E[DAST en préproduction]
  E --> F[Déploiement]
  F --> G[Runtime : WAF / RASP]
  G --> H[Surveillance et retours]
  H --> A

Une pratique mature de l'AppSec décale la sécurité vers la gauche pour des corrections précoces et peu coûteuses, tout en conservant les défenses runtime, car aucun pipeline ne détecte tout. Réflexes essentiels : épingler et vérifier les dépendances, appliquer le moindre privilège, paramétrer les requêtes, valider les entrées et encoder les sorties, et réinjecter la télémétrie de production dans le cycle suivant de modélisation des menaces.