Analyse de sécurité de votre app

Chaque app créée par Craftkite peut être analysée pour repérer les erreurs de sécurité qui nuisent le plus souvent aux vraies apps. L’analyse lit le code de la version actuelle ; elle n’exécute ni ne modifie jamais votre app, et elle est gratuite.

Analyser votre app

1. Ouvrez votre projet et l’onglet Sécurité.
2. Cliquez sur Analyser maintenant (ou Analyser à nouveau). Le résultat s’affiche en un instant, regroupé par gravité : Critique, Élevé, Moyen et Faible.
3. Chaque résultat explique simplement ce qui ne va pas et indique le fichier, la ligne et la ligne de code elle-même. Les clés présentes dans le code sont masquées.

L’app a changé depuis cette analyse signifie qu’une version plus récente existe : analysez-la à nouveau pour la vérifier.

Ce que l’analyse recherche

• Des clés réelles, mots de passe et jetons écrits dans le code, et des secrets qui atteignent le navigateur.
• Des routes et actions serveur qui modifient des données sans vérifier qui est connecté.
• Des mises à jour et suppressions non limitées aux lignes du membre connecté, si bien qu’un membre pourrait modifier les données d’un autre.
• Des requêtes de base de données dangereuses, du HTML dangereux, du texte exécuté comme du code, des sites autorisés à appeler votre app depuis n’importe où, des redirections ouvertes, des cookies de connexion faibles, des valeurs aléatoires prévisibles et des corps de requête utilisés sans validation.
• Des paquets avec une vulnérabilité publiée, d’après une liste que Craftkite tient à jour.

Corriger avec Craftkite

Sélectionnez les résultats à corriger (ou aucun pour corriger tous ceux en attente) et cliquez sur Corriger avec Craftkite. Craftkite en fait une seule demande de modification avec le fichier, la ligne et la correction exacts, la planifie et affiche le devis en crédits. Rien ne change avant votre approbation, et la correction coûte autant que toute autre modification.

Si un résultat est voulu (par exemple un formulaire public que chacun peut envoyer), cliquez sur Accepter le risque. Il reste dans la liste comme Risque accepté et ne compte plus ; Rétablir annule ce choix.

Publication

Chaque publication analyse la version mise en ligne. Quand elle trouve un problème Critique, Craftkite vous demande d’abord : Voir les problèmes ouvre l’onglet Sécurité, Publier quand même continue, et cette décision est enregistrée. Les clés écrites dans le code bloquent toujours une publication ; déplacez-les dans les Secrets (voir Secrets et intégrations).

L’analyse repère les erreurs courantes, pas toutes les faiblesses possibles. Pour les apps qui gèrent des paiements ou des données sensibles, vérifiez aussi attentivement les règles d’accès.