Dans cette leçon, les apprenants découvriront les 10 principales vulnérabilités répertoriées par l’OWASP et apprendront comment prévenir les incidents de sécurité grâce à des pratiques proactives de codage sécurisé et à des outils d’analyse efficaces. La leçon souligne pourquoi la correction des failles de sécurité à un stade avancé du processus est coûteuse et non viable, et explique en quoi une prévention systématique — grâce à un codage sécurisé et à des tests réguliers — constitue une meilleure approche. Des incidents de sécurité réels, tels que la vulnérabilité XSS de Fortnite, sont mis en avant pour illustrer les conséquences concrètes des erreurs de codage courantes. Les apprenants découvriront des outils essentiels, notamment les tests statiques de sécurité des applications (SAST) et l’analyse dynamique avec OWASP ZAP. Grâce à une combinaison de vidéos, de lectures, de discussions et d’exercices pratiques, les apprenants acquerront les compétences et la confiance nécessaires pour développer systématiquement des applications sécurisées et robustes, transformant ainsi leur approche du codage : ils passeront de corrections réactives à une prévention proactive.

Dans cette leçon, les apprenants examinent comment l’intégration de la sécurité dans les pipelines d’intégration continue et de déploiement continu (CI/CD) transforme les processus de mise en production en garants permanents de la confiance, plutôt qu’en simples moteurs de livraison. À travers un scénario illustrant un déploiement effectué tard dans la nuit, au cours duquel une bibliothèque connue pour ses vulnérabilités s’est glissée en production, la leçon met en évidence pourquoi les contrôles de sécurité automatisés doivent être intégrés dès la toute première étape du pipeline. Les apprenants étudieront des implémentations pratiques d’outils — tels que Snyk pour l’analyse des dépendances, OWASP Dependency-Check pour la détection des vulnérabilités open source et les workflows GitHub Actions pour l’automatisation — afin de s’assurer que les problèmes sont détectés avant que le code n’atteigne l’environnement de production. Des études de cas portant sur des erreurs de configuration CI/CD, comme la faille de sécurité dans le cloud de Capital One, montrent comment de petites négligences dans les paramètres des pipelines ou de l’infrastructure en tant que code peuvent entraîner des incidents majeurs, ce qui renforce la nécessité d’une surveillance continue. Des démonstrations pratiques guident les apprenants dans la mise en place de barrières de sécurité qui bloquent les builds en cas de problèmes critiques, dans l’interprétation des résultats d’analyse et dans la configuration de l’application des politiques sous forme de code, le tout sans entraver la vitesse de développement. À l’issue de cette leçon, les participants comprendront à la fois comment configurer et intégrer ces outils de sécurité dans des pipelines réels, et pourquoi il n’est plus acceptable de traiter la sécurité comme une étape distincte : la sécurité doit être continue, intégrée et prise en charge par chaque partie prenante du workflow de livraison.