64 lines
4.8 KiB
Markdown
64 lines
4.8 KiB
Markdown
# Playbook de Recherche & Sélection des Sources - Modern Standards Advisor
|
|
|
|
Ce document détaille les stratégies de recherche web, les opérateurs ciblés et la grille d'évaluation des sources pour garantir des recommandations 100% à l'état de l'art.
|
|
|
|
---
|
|
|
|
## 1. Hiérarchie des Sources Autorisées
|
|
|
|
### Tier 1 : Référentiels Normatifs & Documentation Officielle (Priorité Absolue)
|
|
Toute recommandation critique d'architecture ou de sécurité doit obligatoirement s'adosser à au moins une source de ce niveau :
|
|
- **OWASP** : `owasp.org`, `cheatsheetseries.owasp.org` (ASVS, Top 10, API Security Top 10, Cheat Sheets).
|
|
- **Standards IETF / RFC** : `datatracker.ietf.org`, `rfc-editor.org` (ex: RFC 9106 pour Argon2, RFC 7519 pour JWT, RFC 6749/8252 pour OAuth 2.0 / 2.1).
|
|
- **NIST** : `csrc.nist.gov` (notamment NIST SP 800-63 Digital Identity Guidelines).
|
|
- **MDN Web Docs** : `developer.mozilla.org` (sécurité web, headers HTTP, CORS, CSP, cookies).
|
|
- **Docs officielles de runtimes / frameworks** : Docs officielles de la version **courante majeure** du langage ou framework ciblé (ex: Node.js LTS, Python 3.11+, Spring Security 6+, FastAPI, Django, etc.).
|
|
|
|
### Tier 2 : Blogs d'Ingénierie de Référence & Fournisseurs Spécialisés
|
|
Utilisés pour les détails d'implémentation opérationnelle, les retours d'expérience à l'échelle et les architectures de production :
|
|
- **Fournisseurs de sécurité & Auth** : Cloudflare Blog (`blog.cloudflare.com`), Auth0 / Okta Developer Blog (`auth0.com/blog`), Stripe Engineering (`stripe.com/blog`), 1Password Engineering.
|
|
- **Grands acteurs du Cloud & Scale** : AWS Architecture Center, Google Cloud Architecture Framework, GitHub Engineering Blog, Netflix TechBlog.
|
|
|
|
---
|
|
|
|
## 2. Filtre Négatif : Sources & Pratiques Baddies (Blacklist)
|
|
|
|
L'agent doit **rejeter et exclure** des recommandations :
|
|
1. **Les articles et tutoriels datant d'avant 2022** (sauf RFC fondamentale non obsolète comme RFC 2119).
|
|
2. **Les plateformes non vérifiées sans consensus** :
|
|
- Articles Medium / Dev.to amateurs sans références normatives.
|
|
- Réponses StackOverflow anciennes ou sans validation critique des failles induites.
|
|
- Tutos YouTube ou code snippets non audités.
|
|
3. **Les anti-patterns et algorithmes dépréciés** :
|
|
- *Mots de passe* : MD5, SHA-1, SHA-256/512 direct (sans fonction de dérivation mémoire-dure), salage "fait maison".
|
|
- *Gestion de session / JWT* : Tokens JWT stockés dans le `localStorage` pour des sessions sensibles, absence de mécanisme de révocation (blacklist Redis ou rotation de refresh token), tokens sans expiration courte.
|
|
- *Bannissement utilisateur* : Simple flag `is_banned = true` en base sans invalidation immédiate du cache de session / tokens en circulation.
|
|
- *Chiffrement* : DES, 3DES, RC4, modes ECB, AES-CBC sans HMAC (privilégier AES-GCM ou ChaCha20-Poly1305).
|
|
- *Base de données / Entrées* : Concaténation de requêtes SQL (toujours requêtes préparées / ORM paramétré).
|
|
|
|
---
|
|
|
|
## 3. Matrice des Formules de Recherche Web (Cheat Queries)
|
|
|
|
Pour obtenir directement les meilleures sources via l'outil `search_web`, employer des requêtes ciblées combinant le domaine ou l'autorité :
|
|
|
|
| Sujet / Domaine | Formule de Recherche Recommandée |
|
|
| :--- | :--- |
|
|
| **Stockage & Hash de mots de passe** | `site:cheatsheetseries.owasp.org "Password Storage" OR "Argon2id"` |
|
|
| **Révocation de Session / Bannissement** | `site:cheatsheetseries.owasp.org "Session Management" OR "Revocation"` ou `site:auth0.com/blog token revocation best practices` |
|
|
| **Authentification & JWT** | `site:cheatsheetseries.owasp.org "JSON Web Token" OR RFC 9068 OR "OAuth 2.1"` |
|
|
| **Contrôle d'accès (RBAC / ABAC)** | `site:cheatsheetseries.owasp.org "Authorization" OR "NIST RBAC"` |
|
|
| **Sécurisation des APIs** | `site:owasp.org "API Security Top 10" OR site:cheatsheetseries.owasp.org "REST Security"` |
|
|
| **Protection contre la force brute / DoS** | `site:cheatsheetseries.owasp.org "Denial of Service" OR "Rate Limiting" token bucket` |
|
|
| **Gestion des données sensibles / RGPD** | `site:cheatsheetseries.owasp.org "Cryptographic Storage" OR "Key Management"` |
|
|
| **En-têtes de sécurité HTTP** | `site:developer.mozilla.org "Content Security Policy" OR "Permissions-Policy" OR "HSTS"` |
|
|
|
|
---
|
|
|
|
## 4. Grille d'Évaluation de la Fraîcheur et Pertinence
|
|
|
|
Avant de formuler une recommandation, vérifier :
|
|
1. **L'année de parution ou de révision** : La norme est-elle active ? Y a-t-il eu une nouvelle RFC ou une version mise à jour d'OWASP (ex: OWASP Top 10 2021+, API Top 10 2023+) ?
|
|
2. **Le consensus de la communauté AppSec** : La technique est-elle considérée comme le défaut standard de l'industrie (de facto standard) ou une alternative expérimentale ?
|
|
3. **L'impact opérationnel** : La recommandation prend-elle en compte les compromis réels (performance, latence, coût de calcul vs sécurité) ?
|