Contournement de validation côté client

Définition

Le contournement de validation côté client désigne l'exploitation d'applications qui implémentent leurs contrôles de sécurité, format attendu, longueur maximale, type de fichier autorisé, uniquement dans le code exécuté dans le navigateur de l'utilisateur, sans réappliquer ces mêmes vérifications côté serveur lors du traitement effectif de la requête. Puisque le code client est par nature entièrement sous le contrôle de l'utilisateur, qui peut le modifier, le désactiver ou interagir directement avec l'API serveur sans jamais passer par l'interface prévue, toute validation exclusivement côté client est structurellement inefficace comme mesure de sécurité et ne constitue tout au plus qu'un confort d'expérience utilisateur. Cette confusion fréquente entre validation d'ergonomie et validation de sécurité conduit de nombreuses applications à exposer, sans le savoir, des points d'entrée totalement dépourvus de contrôle réel dès lors qu'un attaquant contourne simplement l'interface graphique pour interagir directement avec les points de terminaison de l'API sous-jacente. Pour les équipes de sécurité applicative, le principe fondamental à appliquer sans exception est que toute validation de sécurité doit être exécutée côté serveur, la validation côté client pouvant subsister en complément pour améliorer l'expérience utilisateur mais jamais comme unique ligne de défense, et les tests de sécurité doivent systématiquement inclure des requêtes construites directement contre l'API en contournant l'interface officielle.