Guides de sécurité pour développeurs

La sécurité se joue dans les détails : un nonce réutilisé, un hachage jamais prévu pour les mots de passe, une clé versionnée à côté du code. Ces guides expliquent les décisions qui comptent.

Les guides se répartissent en quatre groupes. Le hachage traite SHA-256 et SHA-512 comme primitives d'intégrité : sommes de contrôle pour une image ISO téléchargée, pour un artefact de CI, pour une sauvegarde avant restauration — et pourquoi une fonction rapide n'est pas le bon outil pour un mot de passe. Le stockage des mots de passe compare bcrypt, scrypt et Argon2 sur leurs paramètres de coût et leur dureté mémoire, pas sur leur vitesse en benchmark. Le matériel de clé couvre l'entropie à la génération, PBKDF2 quand une clé doit venir d'une phrase secrète, et HMAC quand une requête d'API doit rester vérifiable.

L'authentification rassemble les pannes que l'on débogue vraiment : une signature qui échoue parce qu'un en-tête manquait dans la chaîne canonique, un jeton qui expire trop tôt à cause d'une horloge cliente décalée, un certificat dont il faut lire la date d'expiration dans un fichier PEM. Chaque guide aboutit à un outil qui s'exécute dans l'onglet déjà ouvert : hacher un fichier sans l'envoyer, décoder un certificat, vérifier une signature sans transmettre la charge utile.