Sécurité des applications web et mobiles

Ce cours forme à la sécurité des applications web et mobiles, cibles privilégiées des attaquants car elles exposent directement la logique métier et les données (banque en ligne, mobile money, portails administratifs). Dans une approche défensive et « secure by design », il présente la modélisation des menaces (STRIDE), les référentiels OWASP, les vulnérabilités courantes et surtout leurs contre-mesures de codage sûr, la sécurité mobile (stockage, communications, authentification, API, chiffrement), et les méthodes de test (SAST, DAST, SCA) intégrées au cycle de développement. Un atelier guidé de codage sûr, réalisé sur les machines de l’étudiant, met les principes en pratique.

Objectifs d’apprentissage

• Modéliser les menaces d’une application (STRIDE) et poser des exigences de sécurité.
• Comprendre les vulnérabilités web courantes et leurs contre-mesures structurelles.
• Sécuriser les applications mobiles : stockage, communications, authentification, chiffrement.
• Concevoir des API sûres (contrôle d’accès objet et fonction, validation, limitation de débit).
• Choisir et combiner les méthodes de test de sécurité applicative.
• Intégrer la sécurité au cycle de développement (Secure SDLC, DevSecOps).

Prérequis

Connaissances en développement d’applications web et mobiles, notions de bases de données et de réseaux, sécurité informatique de base.

Plan du cours

1. Leçon 1 — Modèle de menaces, OWASP et développement sécurisé
2. Leçon 2 — Vulnérabilités web et codage sûr
3. Leçon 3 — Sécurité mobile, authentification, API et chiffrement
4. Leçon 4 — Tests de sécurité, atelier de codage sûr et DevSecOps

Modalités d’évaluation

Volume horaire : CM 30 h, TD 10 h, TP 0 h, TPE 40 h (4 crédits). Contrôle continu (TD, atelier de codage sûr noté sur grille, études de cas de contre-mesures) et examen terminal (modélisation de menaces, choix de contre-mesures, priorisation de constats). L’atelier se réalise sur les machines de l’étudiant, en environnement isolé.

Bibliographie

• OWASP, Top 10, API Security Top 10, ASVS, MASVS.
• OWASP, Web Security Testing Guide (WSTG) et Mobile Application Security Testing Guide (MASTG).
• Stuttard, D. & Pinto, M. The Web Application Hacker’s Handbook, Wiley.
• NIST, SP 800-218 — Secure Software Development Framework (SSDF).