NBP-BANK est fièrement conforme à absolument rien.
Nous avons subi des audits internes rigoureux (nous avons cherché « mon appli est-elle sécurisée » sur Google et cliqué sur « J’ai de la chance ») et avons le plaisir de communiquer l’état de conformité suivant :
Nous ne nous contentons pas d’échouer à l’OWASP Top 10. Nous implémentons les 10 comme des fonctionnalités. Injection SQL, XSS, SSRF, IDOR, authentification défaillante, mauvaise configuration de sécurité... nous avons la collection complète.
Les normes de l’industrie des cartes de paiement exigent un stockage chiffré des données sensibles. Nous stockons les mots de passe en clair et servons des jetons JWT depuis localStorage. Les auditeurs PCI DSS sont invités à pleurer.
Le droit à l’oubli est techniquement réalisable via le point de terminaison de suppression non sécurisé de notre panneau d’administration. N’importe qui peut vous oublier. Que vous l’ayez souhaité ou non est une autre affaire.
Nos contrôles d’accès se composent d’un JWT qui n’expire jamais, d’un panneau d’administration caché derrière une URL facile à deviner et d’un téléversement de photo de profil qui fait aussi office d’outil de falsification de requête côté serveur.
Nous appliquons une politique de divulgation complète au sens le plus littéral : chaque vulnérabilité est entièrement divulguée dans le code source via des commentaires HTML bien pratiques comme <!-- Vulnerability: No CSRF protection -->. Nous tenons à faciliter la vie des testeurs d’intrusion.
En cas de faille de sécurité, notre plan de réponse aux incidents consiste à rappeler à tout le monde que l’application s’appelle « Vulnerable Bank » et que c’était le plan depuis le début. Délai moyen de prise en compte : immédiat. Délai moyen de correction : jamais.