Articles
Guides sécurité pour qui lance un SaaS
Des contrôles concrets à faire sur ta propre app : règles Supabase et Firebase, en-têtes, secrets dans les bundles, authentification des e-mails, réglages de déploiement. Chaque chiffre renvoie à sa source.
Le .cursorignore protège-t-il ton fichier .env ? Ce que Cursor bloque vraiment
Ce que .cursorignore bloque dans Cursor (Agent, Tab, mentions @), pourquoi le terminal de l'agent peut quand même lire ton .env, et comment protéger tes clés.
Docker contourne ufw : pourquoi les ports publiés restent ouverts, et comment les fermer
Pourquoi les ports publiés avec Docker ignorent ufw et firewalld, comment voir ce qui est joignable de l'extérieur, et trois correctifs tirés de la doc Docker.
Règles de sécurité Firebase après le mode test : pourquoi auth != null ne suffit pas
Fin du mode test Firebase ? Pourquoi « request.auth != null » expose les données de tous, une règle Firestore réservée au propriétaire et son test.
Secrets Docker dans les couches d'image : pourquoi supprimer le .env ne l'efface pas
Comment .env, ARG et ENV finissent dans les couches d'une image Docker, les commandes pour les y retrouver, et les correctifs avec BuildKit et Compose.
La subresource integrity après polyfill.io : ce que SRI bloque, et ce qu'elle ne peut pas bloquer
Comment marche la subresource integrity, pourquoi elle n'aurait pas protégé les sites de l'attaque polyfill.io, et ce qui protège : auto-hébergement et CSP.
Comment vérifier la row level security de ton projet Supabase comme le ferait un attaquant
Un test en quatre étapes pour la RLS Supabase : RLS sur chaque table, aucune policy ouverte à tous, une requête d'inconnu et la rotation des clés exposées.