Traitez le code généré comme une contribution non vérifiée. Contrôlez l’autorisation côté serveur, la validation des entrées API et les droits sur chaque objet. Cherchez clés, jetons et données personnelles dans le dépôt, l’historique Git et les artefacts de build.
Vérifiez dépendances et lockfile ; en CI, installez les versions verrouillées. Testez rôles, téléversements, paiements et sauvegardes sur staging. OWASP ASVS
Étapes à suivre
- Cherchez des secrets dans le code, l’historique et le build.
- Vérifiez les changements de dépendances et du lockfile.
- Testez droits et validation en tant qu’autre utilisateur.
- Vérifiez sauvegarde et retour arrière avant le lancement.