# Playbook de Recherche & Sélection des Sources - Modern Standards Advisor

Ce document détaille les stratégies de recherche web, les opérateurs ciblés et la grille d'évaluation des sources pour garantir des recommandations 100% à l'état de l'art.

---

## 1. Hiérarchie des Sources Autorisées

### Tier 1 : Référentiels Normatifs & Documentation Officielle (Priorité Absolue)
Toute recommandation critique d'architecture ou de sécurité doit obligatoirement s'adosser à au moins une source de ce niveau :
- **OWASP** : `owasp.org`, `cheatsheetseries.owasp.org` (ASVS, Top 10, API Security Top 10, Cheat Sheets).
- **Standards IETF / RFC** : `datatracker.ietf.org`, `rfc-editor.org` (ex: RFC 9106 pour Argon2, RFC 7519 pour JWT, RFC 6749/8252 pour OAuth 2.0 / 2.1).
- **NIST** : `csrc.nist.gov` (notamment NIST SP 800-63 Digital Identity Guidelines).
- **MDN Web Docs** : `developer.mozilla.org` (sécurité web, headers HTTP, CORS, CSP, cookies).
- **Docs officielles de runtimes / frameworks** : Docs officielles de la version **courante majeure** du langage ou framework ciblé (ex: Node.js LTS, Python 3.11+, Spring Security 6+, FastAPI, Django, etc.).

### Tier 2 : Blogs d'Ingénierie de Référence & Fournisseurs Spécialisés
Utilisés pour les détails d'implémentation opérationnelle, les retours d'expérience à l'échelle et les architectures de production :
- **Fournisseurs de sécurité & Auth** : Cloudflare Blog (`blog.cloudflare.com`), Auth0 / Okta Developer Blog (`auth0.com/blog`), Stripe Engineering (`stripe.com/blog`), 1Password Engineering.
- **Grands acteurs du Cloud & Scale** : AWS Architecture Center, Google Cloud Architecture Framework, GitHub Engineering Blog, Netflix TechBlog.

---

## 2. Filtre Négatif : Sources & Pratiques Baddies (Blacklist)

L'agent doit **rejeter et exclure** des recommandations :
1. **Les articles et tutoriels datant d'avant 2022** (sauf RFC fondamentale non obsolète comme RFC 2119).
2. **Les plateformes non vérifiées sans consensus** :
   - Articles Medium / Dev.to amateurs sans références normatives.
   - Réponses StackOverflow anciennes ou sans validation critique des failles induites.
   - Tutos YouTube ou code snippets non audités.
3. **Les anti-patterns et algorithmes dépréciés** :
   - *Mots de passe* : MD5, SHA-1, SHA-256/512 direct (sans fonction de dérivation mémoire-dure), salage "fait maison".
   - *Gestion de session / JWT* : Tokens JWT stockés dans le `localStorage` pour des sessions sensibles, absence de mécanisme de révocation (blacklist Redis ou rotation de refresh token), tokens sans expiration courte.
   - *Bannissement utilisateur* : Simple flag `is_banned = true` en base sans invalidation immédiate du cache de session / tokens en circulation.
   - *Chiffrement* : DES, 3DES, RC4, modes ECB, AES-CBC sans HMAC (privilégier AES-GCM ou ChaCha20-Poly1305).
   - *Base de données / Entrées* : Concaténation de requêtes SQL (toujours requêtes préparées / ORM paramétré).

---

## 3. Matrice des Formules de Recherche Web (Cheat Queries)

Pour obtenir directement les meilleures sources via l'outil `search_web`, employer des requêtes ciblées combinant le domaine ou l'autorité :

| Sujet / Domaine | Formule de Recherche Recommandée |
| :--- | :--- |
| **Stockage & Hash de mots de passe** | `site:cheatsheetseries.owasp.org "Password Storage" OR "Argon2id"` |
| **Révocation de Session / Bannissement** | `site:cheatsheetseries.owasp.org "Session Management" OR "Revocation"` ou `site:auth0.com/blog token revocation best practices` |
| **Authentification & JWT** | `site:cheatsheetseries.owasp.org "JSON Web Token" OR RFC 9068 OR "OAuth 2.1"` |
| **Contrôle d'accès (RBAC / ABAC)** | `site:cheatsheetseries.owasp.org "Authorization" OR "NIST RBAC"` |
| **Sécurisation des APIs** | `site:owasp.org "API Security Top 10" OR site:cheatsheetseries.owasp.org "REST Security"` |
| **Protection contre la force brute / DoS** | `site:cheatsheetseries.owasp.org "Denial of Service" OR "Rate Limiting" token bucket` |
| **Gestion des données sensibles / RGPD** | `site:cheatsheetseries.owasp.org "Cryptographic Storage" OR "Key Management"` |
| **En-têtes de sécurité HTTP** | `site:developer.mozilla.org "Content Security Policy" OR "Permissions-Policy" OR "HSTS"` |

---

## 4. Grille d'Évaluation de la Fraîcheur et Pertinence

Avant de formuler une recommandation, vérifier :
1. **L'année de parution ou de révision** : La norme est-elle active ? Y a-t-il eu une nouvelle RFC ou une version mise à jour d'OWASP (ex: OWASP Top 10 2021+, API Top 10 2023+) ?
2. **Le consensus de la communauté AppSec** : La technique est-elle considérée comme le défaut standard de l'industrie (de facto standard) ou une alternative expérimentale ?
3. **L'impact opérationnel** : La recommandation prend-elle en compte les compromis réels (performance, latence, coût de calcul vs sécurité) ?