Cristian Dinca

Sommaire

VULX

J’ai construit VULX parce que les vérifications de sécurité des API sont bien plus utiles pendant qu’on construit qu’une fois que quelque chose est arrivé en production.

Chapitre 3Mergedvulx into mainsécurité des API · outils pour développeurs

Contexte

Le meilleur moment pour corriger une faille d’API, c’est avant même que le code existe. Beaucoup de problèmes d’API se voient déjà dans la spécification, à condition que quelque chose la lise vraiment.

VULX prend une spécification OpenAPI 3.x ou Swagger 2.0 et la vérifie selon les dix catégories de l’OWASP API Security Top 10 (2023), de la broken object-level authorization à la consommation non sécurisée d’API tierces.

Ce que j’ai fait

  • Un moteur d’analyse en Python qui traite les jobs depuis une file Redis.
  • Une API Express sur PostgreSQL qui stocke les projets et les résultats.
  • Un dashboard React pour parcourir les projets, les analyses et les résultats.
  • Une CLI pour l’automatisation : vulx scan --project-id <id> --fail-on HIGH fait échouer le build quand les résultats dépassent le seuil, avec une sortie JSON pour les pipelines.
  • Des configurations prêtes à l’emploi pour GitHub Actions, GitLab CI et Jenkins.
  • Des rapports PDF avec un court résumé, une matrice de couverture OWASP, chaque résultat avec sa preuve et sa correction, et une feuille de route de remédiation priorisée.
  • Des organisations avec contrôle d’accès par rôle, et la facturation Stripe pour le faire tourner en SaaS.

Stack

TypeScript, Python, React, PostgreSQL, Redis, Docker.

Tourner la pageChapitre 4: Cocofy