Audits et checklists

Deux audits par checklist ont été menés pendant le projet : un audit d'infrastructure d'environ 245 points et un audit de sécurité d'environ 300 points. Cette page présente leur structure, explique ce que leurs fichiers de travail permettent d'établir et donne, thème par thème, l'état du dépôt vérifié dans le code.

#Ce que les fichiers d'audit permettent d'établir

#Checklist d'infrastructure

Chaque ligne décrit un anti-modèle, la règle à appliquer, les outils de référence et une priorité (Haute, Moyenne, Basse). Les 245 points se répartissent en huit thèmes :

#Checklist de sécurité

Chaque ligne donne une mesure, la règle ou la norme de référence (OWASP ASVS et MASVS, ANSSI, CNIL), une priorité, la plateforme concernée et des colonnes de suivi (Statut, Responsable, Date cible, Preuve). La grille rappelle qu'un point « Fait » doit être prouvé par un test, une configuration ou un rapport, et que ses points juridiques ne remplacent pas l'avis d'un avocat ou d'un DPO.

Les 300 points sont répartis en 22 catégories. Elles structurent la synthèse ci-dessous.

#Synthèse de l'audit de sécurité

Légende : fait (preuve dans le dépôt), partiel (mesure présente mais incomplète), absent, sans objet (fonction inexistante dans BlockLucky).

#Authentification (18 points) et authentification avancée (12 points)

#Sessions et jetons (13 points), sessions et cryptographie avancées (10 points)

#Autorisation et contrôle d'accès (12 points)

#Injections et validation des entrées (18 points)

#Sécurité navigateur (14 points)

#Chiffrement et secrets (13 points)

#API et réseau (15 points)

#Fichiers et téléversements (10 points)

Sans objet pour l'essentiel : l'API n'accepte aucun fichier. Les codes promo arrivent sous forme de texte CSV borné à 200 000 caractères, et les exports sont écrits par le serveur dans un compartiment S3.

#Infrastructure et chaîne logicielle (18 points), chaîne logicielle et développement (10 points)

#Journalisation et incidents (11 points)

#Mobile (15 points) et mobile avancé (8 points)

#Logique métier et fraude (15 points)

#RGPD et vie privée (23 points), juridique et conformité (20 points), gouvernance des données (10 points)

Ces catégories sont traitées dans la partie Juridique et conformité. En résumé : registre des traitements, export et anonymisation sont faits ; purges automatiques, analyse d'impact, contrats de sous-traitance et mentions légales complètes sont absents ou à valider. La liste à faire valider figure dans Points à valider.

#Architecture et API avancées (10 points), infrastructure et cloud avancés (15 points), organisation (10 points)

Ces catégories visent un hébergement en nuage et une organisation d'entreprise. Le dépôt ne contient ni infrastructure en code, ni compte cloud, ni processus d'équipe formalisé : elles relèvent du déploiement, décrit dans Déploiement sur etherbay.tech, et ne sont pas évaluables ici. Seule la validation de l'en-tête Host est concernée par le code : elle est absente (voir Validation).

#Synthèse de l'audit d'infrastructure

#Constats ouverts

Les écarts relevés pendant la rédaction de cette documentation, classés par priorité suggérée :

Pour reprendre un audit, dupliquer la grille, renseigner la colonne Preuve avec un lien vers le fichier ou le test, et ne marquer « Fait » qu'une mesure prouvée.