Formation Sécurité des applications Web Best
Repérez, exploitez et corrigez les failles du Top 10 OWASP pour livrer des applications web et des API sécurisées dès la conception.
Vue d'ensemble
- Pratique du développement d'applications web dans un langage côté serveur (Java, PHP, Python, C#, JavaScript…)
- Connaissance des bases du web : HTTP, HTML, formulaires, sessions
- Notions de SQL
Objectifs pédagogiques
Programme détaillé
Enjeux et fondamentaux de la sécurité des applications web
– Sécurité des applications web : périmètre (code, configuration, dépendances, API) et place dans la sécurité du système d’information
– Contexte et chiffres clés : les applications web et les API, premier vecteur d’intrusion et de fuite de données
– Bases de la sécurité : triade confidentialité, intégrité, disponibilité, authentification, autorisation et traçabilité
– Attaquants et déroulement d’une attaque : profils, motivations, reconnaissance, exploitation et maintien de l’accès
– Écosystème OWASP : Top 10, ASVS et Cheat Sheets pour structurer exigences et contrôles
– CWE, CVE et CVSS : classer une faiblesse, suivre une vulnérabilité publiée et en évaluer la gravité
– Données à risque et obligations : données personnelles (RGPD), données de paiement (PCI-DSS) et conséquences d’une fuite
– Cartographie des actifs, des données sensibles et des points d’entrée d’une application exemple
– Lecture d’un avis de vulnérabilité (CVE) et interprétation de son score CVSS
– Prise en main de l’application d’entraînement volontairement vulnérable utilisée tout au long de la formation
HTTP(S) et mécanismes de sécurité du navigateur
– Requêtes et réponses HTTP : méthodes, en-têtes et codes de statut, tout ce qu’un attaquant peut manipuler
– Proxy d’interception : observer, rejouer et modifier le trafic entre le navigateur et le serveur
– Cookies et attributs Secure, HttpOnly, SameSite : limiter le vol et l’envoi intersite des cookies de session
– TLS et certificats : chiffrement des échanges, chaîne de confiance et erreurs de configuration courantes
– HSTS : imposer HTTPS et neutraliser les attaques par rétrogradation
– Same-Origin Policy et CORS : ce que le navigateur bloque, ce qu’une politique CORS trop permissive ouvre
– En-têtes de sécurité : Content-Security-Policy, X-Content-Type-Options, frame-ancestors, Referrer-Policy
– Interception et modification de requêtes avec OWASP ZAP ou Burp Suite
– Audit des en-têtes de sécurité et de la configuration TLS d’un site
– Analyse des attributs des cookies de session de l’application d’entraînement
Les vulnérabilités du Top 10 OWASP
– Présentation de l’OWASP et du Top 10 : méthode de classement et évolution des catégories dans l’édition en vigueur
– Contrôle d’accès défaillant : références directes non protégées (IDOR), élévation de privilèges, falsification de requête côté serveur (SSRF)
– Injections : SQL, commandes système, LDAP et Cross-Site Scripting (XSS) réfléchi, stocké ou basé sur le DOM
– Mauvaise configuration de sécurité : paramètres par défaut, messages d’erreur verbeux, services inutiles exposés
– Défaillances cryptographiques : données sensibles en clair, algorithmes faibles, mauvaise gestion des clés
– Chaîne d’approvisionnement logicielle : dépendances vulnérables ou compromises, composants non maintenus
– Conception non sécurisée et défauts d’intégrité : failles de logique métier, désérialisation, mises à jour non vérifiées
– Journalisation insuffisante et gestion des conditions exceptionnelles : attaques non détectées, erreurs qui ouvrent l’accès
– Attaques côté client hors Top 10 : falsification de requête intersite (CSRF), redirections et renvois non validés
– Contournement d’une authentification par injection SQL
– Exploitation d’un XSS stocké pour dérober une session
– Accès aux données d’un autre utilisateur via une référence directe non protégée
– Déclenchement d’une action sensible par une attaque CSRF
Authentification et gestion des sessions
– Attaques sur l’authentification : force brute, credential stuffing, identifiants par défaut
– Stockage des mots de passe : hachage adaptatif salé (bcrypt, Argon2) et politique de mots de passe
– Authentification multifacteur et protection contre l’automatisation : MFA, limitation des tentatives, verrouillage progressif
– Cycle de vie de la session : identifiants robustes, renouvellement à la connexion, expiration et déconnexion
– Détournement de session : vol de cookie, fixation et session hijacking, et contre-mesures associées
– Délégation d’authentification : OAuth 2.0 et OpenID Connect, flux recommandés pour les applications web
– Jetons JWT : signature, expiration, révocation et pièges classiques (algorithme non vérifié, données sensibles dans la charge utile)
– Attaque par force brute d’un formulaire de connexion, puis mise en place de contre-mesures
– Exploitation puis correction d’une fixation de session
– Analyse et falsification d’un JWT mal validé
Développer de façon sécurisée
– Security by design : intégrer les exigences de sécurité dès la conception, avec l’ASVS comme grille de référence
– Modélisation des menaces : identifier les menaces d’une fonctionnalité avec STRIDE et prioriser les contre-mesures
– Validation des saisies : listes d’autorisation, contrôles côté serveur et typage strict
– Interactions avec la base de données : requêtes paramétrées, ORM et comptes à privilèges minimaux
– Encodage des sorties et Content Security Policy : neutraliser le XSS selon le contexte d’affichage
– Contrôle des fuites d’information : gestion des erreurs, messages génériques, journalisation sans données sensibles
– Protection anti-CSRF et gestion des secrets : jetons de synchronisation, cookies SameSite, secrets hors du code source
– Défense en profondeur : durcissement de la configuration et pare-feu applicatif (WAF) comme filet de sécurité, pas comme correctif
– Correction dans le code des failles exploitées précédemment (injection, XSS, référence directe)
– Atelier de modélisation des menaces sur une fonctionnalité de paiement ou de gestion de compte
– Mise en place d’une Content Security Policy et vérification de son effet
Sécuriser une API REST
– Spécificités des API : surface d’attaque, clients multiples, absence d’interface pour masquer les défauts
– Top 10 OWASP API Security : panorama des risques propres aux API
– Autorisation au niveau de l’objet, de la propriété et de la fonction (BOLA, BOPLA, BFLA) : contrôler chaque accès côté serveur
– Authentification des API : jetons d’accès, portées OAuth, clés d’API et leurs limites
– Consommation de ressources : limitation de débit, pagination et taille des requêtes
– Exposition de données et inventaire : réponses minimales, versions obsolètes, endpoints non documentés
– API GraphQL : points de vigilance spécifiques (introspection, profondeur des requêtes)
– Exploitation d’une BOLA sur une API, puis mise en place du contrôle d’accès
– Repérage d’une exposition excessive de données dans des réponses JSON
– Mise en place d’une limitation de débit sur un endpoint sensible
Prochaines sessions
du 17 nov. 2026 au 19 nov. 2026 • 3 jours
du 17 nov. 2026 au 19 nov. 2026 • 3 jours
du 17 nov. 2026 au 19 nov. 2026 • 3 jours
du 17 nov. 2026 au 19 nov. 2026 • 3 jours
du 17 nov. 2026 au 19 nov. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 7 déc. 2026 au 9 déc. 2026 • 3 jours
du 23 févr. 2027 au 25 févr. 2027 • 3 jours
du 23 févr. 2027 au 25 févr. 2027 • 3 jours
du 23 févr. 2027 au 25 févr. 2027 • 3 jours
du 7 avr. 2027 au 9 avr. 2027 • 3 jours
du 7 avr. 2027 au 9 avr. 2027 • 3 jours
du 7 avr. 2027 au 9 avr. 2027 • 3 jours
du 7 avr. 2027 au 9 avr. 2027 • 3 jours
du 1 juin 2027 au 3 juin 2027 • 3 jours
du 1 juin 2027 au 3 juin 2027 • 3 jours
du 1 juin 2027 au 3 juin 2027 • 3 jours
du 1 juin 2027 au 3 juin 2027 • 3 jours
du 1 juin 2027 au 3 juin 2027 • 3 jours
du 20 juil. 2027 au 22 juil. 2027 • 3 jours
du 20 juil. 2027 au 22 juil. 2027 • 3 jours
du 20 juil. 2027 au 22 juil. 2027 • 3 jours
du 20 juil. 2027 au 22 juil. 2027 • 3 jours
du 20 juil. 2027 au 22 juil. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 6 oct. 2027 au 8 oct. 2027 • 3 jours
du 8 déc. 2027 au 10 déc. 2027 • 3 jours
du 8 déc. 2027 au 10 déc. 2027 • 3 jours
du 8 déc. 2027 au 10 déc. 2027 • 3 jours
du 8 déc. 2027 au 10 déc. 2027 • 3 jours
du 8 déc. 2027 au 10 déc. 2027 • 3 jours
Ils nous font confiance
Cette année notre filière Développement Web & Fullstack a accompagné plus de 111 entreprises dont :
Avis des participants
session très agréable, dense mais toujours agréable. formateur très à l'écoute, prends le temps de répondre aux questions. on apprends l'utilisation des fonctions mais aussi les processus mis en œuvre derrière ces fonctions. cela contribue à une compréhension en profondeur des sujets.
Très bon instructeur qui explique toujours en montrant du code, aucune slide et une présentation vivante ce qui permet de rester intéressé et concentré tout au long ! On nous laisse beaucoup de temps pour faire les exercices aussi donc ça permet de vraiment réfléchir…
Merci à Yasmine pour ces 3 jours de formation
RAS, j'ai passer un bon moment et j'ai hâte de pouvoir mettre tous ça en pratique dans mes devs. Seul bémol, j'ai reçu le mail indiquant les logiciels nécessaires seulement un jour avant le début de la formation. J'ai pu contourner les restrictions du PC…
Très bon formateur : pédagogue, n'hésite pas à faire des zooms sur certains concepts qui pouvaient me manquer, s'appuyer sur des choses qui peuvent mettre réellement utile au quotidien. Déroulé de la formation logique et permettant d'aller crescendo dans les difficultés pour avoir des bases…
Votre formateur
David M.
Formateur JavaScript
David intervient sur des formations portant sur le développement web et fullstack. Parmi les formations qui lui sont confiées figurent notamment « Java » et « Node.js ». Son activité de formation remonte à 2017.
Financement
Cette formation est éligible aux financements OPCO et FNE-Formation. Nos équipes vous accompagnent dans le montage de votre dossier.
Questions fréquentes
Combien de temps dure la formation Sécurité des applications Web ?
Cette formation se déroule sur 3 jours.
Quels sont les prérequis pour suivre la formation Sécurité des applications Web ?
- Pratique du développement d'applications web dans un langage côté serveur (Java, PHP, Python, C#, JavaScript…) - Connaissance des bases du web : HTTP, HTML, formulaires, sessions - Notions de SQL
Quel est le prix de la formation Sécurité des applications Web ?
En inter-entreprises, elle est à 2 250 € HT par participant ; en intra-entreprise, elle est à 5 250 € HT pour le groupe. Un tarif sur-mesure est également disponible sur devis.
La formation Sécurité des applications Web délivre-t-elle une certification ?
Cette formation ne délivre pas de certification. Une attestation de fin de formation vous sera remise à l'issue de la session.
La formation Sécurité des applications Web est-elle éligible à un financement OPCO ?
Oui, cette formation est éligible aux financements OPCO et FNE-Formation. Nos équipes vous accompagnent dans le montage de votre dossier.
Choisissez votre formation
Mon contact chez SPARKS est professionnel et très réactif. Les échanges sont simples, efficaces, et la collaboration se déroule dans d'excellentes conditions.
