À propos de cette formation
Cette formation sensibilise les développeurs PHP aux principaux types d'attaques (XSS, CSRF, injections SQL, vol de session...) et leur apprend à intégrer la sécurité dès la conception. Les participants découvrent les bonnes pratiques de sécurisation des pages web, des formulaires, des sessions, des bases de données et des extensions PHP.
Objectifs de la formation
- Identifier les types d'attaques auxquelles une application PHP peut être exposée
- Intégrer les exigences de sécurité dès la phase de conception
- Détecter les failles de sécurité dans un développement PHP
- Mettre en œuvre des contre-mesures pour développer des applications PHP plus robustes
Programme détaillé
Module 1 — Introduction
- Panorama des risques : destruction de données, détournement de site, publication d'informations confidentielles, abus de ressources et vol d'identité
- Plan sécurité : conception, développement et maintenance
Module 2 — Les pages Web
- XSS : principe et méthodes de protection
- CSRF : principe et contre-mesures, virus en base de données
Module 3 — Formulaires : la grande porte
- Failles des formulaires : limites de la validation JavaScript, chaînage et attaques HTTP/AJAX
- Validation des entrées : listes, expressions régulières et filtres
- Envoi de fichiers : failles liées à l'upload et contre-mesures
Module 4 — Cookies et sessions
- Cookies : principes, risques et manipulation JavaScript
- Sessions : mode Cookie vs Header et principe du vol de session
Module 5 — Sécuriser PHP : les bons réglages
- PHP.ini : directives sensibles, gestion des sessions et des erreurs
- Protection des scripts : sécurité physique et risques liés à l'exécution distante
Module 6 — Bases de données
- Failles potentielles : administration et stockage
- Injections SQL : principe, contre-mesures, procédures stockées et requêtes paramétrées
Module 7 — Sécuriser l'emploi des extensions
- Fichiers d'accès : organisation, valeurs par défaut, accès anonymes et protocoles
- Email : injections via formulaire de contact et contre-mesures
- Accès réseau par PHP : appels séquentiels, récursifs et risques d'attaque furtive
Module 8 — Considérations générales
- Attaques par force brute (BFA) : identification et contre-mesures
- Phishing : principes et sensibilisation des utilisateurs
- DoS : quotas et gestion des charges
- Mots de passe : renforcement et stockage sécurisé
- Chiffrement et signature : implémentation PHP et MySQL
- Techniques d'obscurcissement : pot de miel, obfuscation et CAPTCHA
- Sécurité dans les développements composites (frameworks et briques logicielles)
- Audit de sécurité : méthodologie, cross-test et rapport
Prérequis
Maîtriser PHP et SQL. Des notions en JavaScript sont requises.