Fail Secure

Définition

Le principe Fail Secure (ou Fail Safe en sécurité) désigne le comportement d'un système lors d'une défaillance : en cas de panne, d'erreur ou d'attaque, le système doit adopter l'état le plus sécurisé possible plutôt que de rester dans un état permissif. Ce principe garantit que les mécanismes de sécurité ne sont pas contournés lors d'un incident. La distinction entre Fail Secure et Fail Open est fondamentale. Un système Fail Open, lors d'une défaillance, autorise tous les accès pour maintenir la disponibilité — le firewall qui tombe autorise tout le trafic, le système d'authentification qui plante permet à tous de se connecter. Un système Fail Secure, au contraire, bloque tout accès lors d'une défaillance, sacrifiant la disponibilité au profit de la sécurité. Le choix entre Fail Secure et Fail Open dépend du contexte et de l'analyse de risque. Pour un système de contrôle d'accès à une zone nucléaire, Fail Secure est impératif : une panne doit verrouiller les portes, pas les ouvrir. Pour un système de ventilation en cas d'incendie, Fail Open peut être le bon choix pour permettre l'évacuation. La règle générale en cybersécurité est de préférer Fail Secure, sauf si les conséquences d'un blocage sont plus graves que celles d'un accès non autorisé. Dans les applications web, Fail Secure signifie que le système de validation des tokens JWT doit rejeter toute requête si le service de vérification est indisponible, plutôt que d'autoriser par défaut. Les firewalls applicatifs doivent bloquer le trafic en cas de surcharge plutôt que de laisser passer sans inspection. Les systèmes d'authentification MFA doivent refuser l'accès si le service OTP est injoignable. En développement sécurisé, Fail Secure se traduit par des patterns comme le whitelisting (autoriser explicitement) plutôt que le blacklisting (interdire explicitement), la gestion des exceptions qui refusent l'accès par défaut en cas d'erreur inattendue, et le "deny by default" dans les configurations de sécurité.