Je testerai votre application web pour des contrôles d'accès défaillants et des fuites de données entre utilisateurs

Un client peut-il voir les données d’un autre client ? un utilisateur ordinaire peut-il accéder à une action d’administrateur en modifiant un identifiant dans une requête ? Les scanners automatisés détectent rarement ce type de faille. C’est l’erreur la plus grave et la plus courante dans les applications web, et c’est ce que je teste.

J’ai rédigé des tests de contrôle d’accès sur une plateforme de télésanté conforme HIPAA, vérifiant que chaque rôle utilisateur ne peut accéder qu’aux données des patients qu’il est autorisé à voir. Je suis développeur full-stack sur Django, Next.js et PostgreSQL, et je lis votre application comme son constructeur.

Ce que je vérifie manuellement, avec des comptes de test que vous fournissez :

• si chaque rôle peut lire ou modifier uniquement ses propres enregistrements
• si les identifiants dans les URL et les appels API peuvent être échangés pour atteindre les données d’autres utilisateurs
• si les actions d’administration sont bloquées pour les utilisateurs normaux sur le serveur, et pas seulement cachées dans l’interface
• si les locataires dans une application multi-tenant restent séparés

Vous recevrez un rapport listant chaque problème avec sa gravité, les étapes exactes pour le reproduire et les corrections à apporter.

Parlez-moi de votre application et de ses rôles utilisateur, et je confirmerai la portée.