PaaS

Définition

La Platform as a Service (PaaS) est un modèle de cloud computing qui fournit aux développeurs un environnement complet pour créer, tester et déployer des applications sans gérer l'infrastructure sous-jacente. Le fournisseur PaaS gère les serveurs, le stockage, le réseau, le système d'exploitation et les middlewares, tandis que le client se concentre uniquement sur le code et les données de ses applications. Les exemples typiques de PaaS incluent AWS Elastic Beanstalk, Azure App Service, Google App Engine, Heroku et OpenShift. Ces plateformes offrent des environnements d'exécution préconfigurés pour de nombreux langages (Python, Java, Node.js, .NET, Ruby) et prennent en charge automatiquement le scaling, la haute disponibilité et les mises à jour des composants gérés. Du point de vue de la sécurité, la PaaS réduit la surface d'attaque liée à la gestion de l'infrastructure, mais introduit d'autres risques spécifiques. Le client reste responsable de la sécurité du code applicatif, de la configuration de la plateforme, de la gestion des accès et de la sécurisation des données. Les risques courants incluent les injections (SQL, commandes), les secrets hardcodés dans le code source, les configurations de déploiement trop permissives et les dépendances vulnérables. L'intégration de la sécurité dans le pipeline CI/CD (DevSecOps) est critique pour les environnements PaaS : analyse statique du code (SAST), détection de secrets (GitLeaks, TruffleHog), scanning des dépendances (Snyk, Dependabot), et tests de sécurité dynamiques (DAST) avant chaque déploiement. La gestion des secrets doit reposer sur des coffres-forts dédiés (AWS Secrets Manager, Azure Key Vault, HashiCorp Vault) plutôt que sur des variables d'environnement en clair. La conformité dans un environnement PaaS nécessite de comprendre précisément quelles données sont traitées par la plateforme et quels certificats le fournisseur détient (SOC 2, ISO 27001, PCI-DSS). Les contrats de traitement de données (DPA) et les clauses de sous-traitance sont essentiels dans un contexte RGPD.