Infuseting
/
Skills
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
Skills/modern-standards-advisor/references/search-playbook.md

4.8 KiB
Raw Blame History

Playbook de Recherche & Sélection des Sources - Modern Standards Advisor

Ce document détaille les stratégies de recherche web, les opérateurs ciblés et la grille d'évaluation des sources pour garantir des recommandations 100% à l'état de l'art.

1. Hiérarchie des Sources Autorisées

Tier 1 : Référentiels Normatifs & Documentation Officielle (Priorité Absolue)

Toute recommandation critique d'architecture ou de sécurité doit obligatoirement s'adosser à au moins une source de ce niveau :

  • OWASP : owasp.org, cheatsheetseries.owasp.org (ASVS, Top 10, API Security Top 10, Cheat Sheets).
  • Standards IETF / RFC : datatracker.ietf.org, rfc-editor.org (ex: RFC 9106 pour Argon2, RFC 7519 pour JWT, RFC 6749/8252 pour OAuth 2.0 / 2.1).
  • NIST : csrc.nist.gov (notamment NIST SP 800-63 Digital Identity Guidelines).
  • MDN Web Docs : developer.mozilla.org (sécurité web, headers HTTP, CORS, CSP, cookies).
  • Docs officielles de runtimes / frameworks : Docs officielles de la version courante majeure du langage ou framework ciblé (ex: Node.js LTS, Python 3.11+, Spring Security 6+, FastAPI, Django, etc.).

Tier 2 : Blogs d'Ingénierie de Référence & Fournisseurs Spécialisés

Utilisés pour les détails d'implémentation opérationnelle, les retours d'expérience à l'échelle et les architectures de production :

  • Fournisseurs de sécurité & Auth : Cloudflare Blog (blog.cloudflare.com), Auth0 / Okta Developer Blog (auth0.com/blog), Stripe Engineering (stripe.com/blog), 1Password Engineering.
  • Grands acteurs du Cloud & Scale : AWS Architecture Center, Google Cloud Architecture Framework, GitHub Engineering Blog, Netflix TechBlog.

2. Filtre Négatif : Sources & Pratiques Baddies (Blacklist)

L'agent doit rejeter et exclure des recommandations :

  1. Les articles et tutoriels datant d'avant 2022 (sauf RFC fondamentale non obsolète comme RFC 2119).
  2. Les plateformes non vérifiées sans consensus :
    • Articles Medium / Dev.to amateurs sans références normatives.
    • Réponses StackOverflow anciennes ou sans validation critique des failles induites.
    • Tutos YouTube ou code snippets non audités.
  3. Les anti-patterns et algorithmes dépréciés :
    • Mots de passe : MD5, SHA-1, SHA-256/512 direct (sans fonction de dérivation mémoire-dure), salage "fait maison".
    • Gestion de session / JWT : Tokens JWT stockés dans le localStorage pour des sessions sensibles, absence de mécanisme de révocation (blacklist Redis ou rotation de refresh token), tokens sans expiration courte.
    • Bannissement utilisateur : Simple flag is_banned = true en base sans invalidation immédiate du cache de session / tokens en circulation.
    • Chiffrement : DES, 3DES, RC4, modes ECB, AES-CBC sans HMAC (privilégier AES-GCM ou ChaCha20-Poly1305).
    • Base de données / Entrées : Concaténation de requêtes SQL (toujours requêtes préparées / ORM paramétré).

3. Matrice des Formules de Recherche Web (Cheat Queries)

Pour obtenir directement les meilleures sources via l'outil search_web, employer des requêtes ciblées combinant le domaine ou l'autorité :

Sujet / Domaine Formule de Recherche Recommandée
Stockage & Hash de mots de passe site:cheatsheetseries.owasp.org "Password Storage" OR "Argon2id"
Révocation de Session / Bannissement site:cheatsheetseries.owasp.org "Session Management" OR "Revocation" ou site:auth0.com/blog token revocation best practices
Authentification & JWT site:cheatsheetseries.owasp.org "JSON Web Token" OR RFC 9068 OR "OAuth 2.1"
Contrôle d'accès (RBAC / ABAC) site:cheatsheetseries.owasp.org "Authorization" OR "NIST RBAC"
Sécurisation des APIs site:owasp.org "API Security Top 10" OR site:cheatsheetseries.owasp.org "REST Security"
Protection contre la force brute / DoS site:cheatsheetseries.owasp.org "Denial of Service" OR "Rate Limiting" token bucket
Gestion des données sensibles / RGPD site:cheatsheetseries.owasp.org "Cryptographic Storage" OR "Key Management"
En-têtes de sécurité HTTP site:developer.mozilla.org "Content Security Policy" OR "Permissions-Policy" OR "HSTS"

4. Grille d'Évaluation de la Fraîcheur et Pertinence

Avant de formuler une recommandation, vérifier :

  1. L'année de parution ou de révision : La norme est-elle active ? Y a-t-il eu une nouvelle RFC ou une version mise à jour d'OWASP (ex: OWASP Top 10 2021+, API Top 10 2023+) ?
  2. Le consensus de la communauté AppSec : La technique est-elle considérée comme le défaut standard de l'industrie (de facto standard) ou une alternative expérimentale ?
  3. L'impact opérationnel : La recommandation prend-elle en compte les compromis réels (performance, latence, coût de calcul vs sécurité) ?