Full course · HTTP 1.1 / 2 / 3 · ASVS 5.0
HTTP — sécurité avancée, 40 leçons de cours
Quarante leçons autonomes pour analyser HTTP de bout en bout : sémantique, navigateurs, authentification, politiques de sécurité, caches, mandataires et exploitation. Chaque page contient un laboratoire corrigé et un contrôle original.
Lessons, exercises and questions in this path are in French. The interface follows the site language.
Your progress will appear here when JavaScript is active.
Progress and best score are stored only in this browser. No account is needed; clearing browser data removes them. Module times are estimates including exercises.
Prerequisites and environment
- Maîtriser requêtes HTTP, JSON et une application de laboratoire.
- Disposer des outils réseau du navigateur et d’un client HTTP local.
- Connaître authentification, autorisation et différence entre test et production.
Learning outcomes
- Reconstruire le trajet d’une requête et ses frontières de confiance.
- Justifier chaque politique navigateur, de cache et de mandataire.
- Concevoir des tests négatifs avec une preuve observable et une restauration.
- Construire un dossier de vérification réutilisable pour une revue de sécurité.
Course syllabus
01 — Protocole et responsabilités
- 01 · 90 min
01. Reconstituer le trajet HTTP
Identifier quelle couche accepte, transforme ou refuse chaque message.
Open module → - 02 · 90 min
02. Méthodes et sémantique des opérations
Choisir une méthode selon le contrat et non selon la commodité du formulaire.
Open module → - 03 · 90 min
03. Statuts et erreurs sans fuite
Exprimer un résultat protocolaire utile sans révéler l’état interne sensible.
Open module → - 04 · 90 min
04. Idempotence et reprises après incident
Distinguer répétition du message et répétition de son effet.
Open module → - 05 · 90 min
05. Champs, valeurs et frontières d’interprétation
Traiter les en-têtes comme un contrat structuré et non comme du texte libre.
Open module → - 06 · 90 min
06. Content-Length et limites du corps
Mesurer les octets du bon message et réserver la marge d’encapsulation.
Open module → - 07 · 90 min
07. Délimitation et encodage de transfert
Éviter des interprétations contradictoires entre parseurs.
Open module → - 08 · 90 min
08. Désynchronisation et request smuggling
Défendre la frontière entre intermédiaires et serveur applicatif.
Open module → - 09 · 90 min
09. HTTP/2 : multiplexage et contraintes partagées
Séparer concurrence logique et ressources de connexion.
Open module → - 10 · 90 min
10. HTTP/3 : QUIC, pertes et garanties restantes
Identifier les gains du transport sans leur attribuer des garanties applicatives.
Open module →
02 — Frontières du navigateur et identité
- 11 · 90 min
11. Origine, site et URL : trois notions distinctes
Calculer la frontière pertinente avant de configurer une politique.
Open module → - 12 · 90 min
12. Same-origin policy : lecture et envoi
Décrire ce que le navigateur limite réellement.
Open module → - 13 · 90 min
13. CORS : autoriser une lecture sans ouvrir les droits
Définir une liste d’origines autorisées liée à un usage réel.
Open module → - 14 · 90 min
14. Preflight : intention annoncée et demande réelle
Tester les deux étapes du protocole CORS.
Open module → - 15 · 90 min
15. Credentials CORS et frontières de cookies
Ne pas confondre demande d’envoi et permission effective.
Open module → - 16 · 90 min
16. Cookies : transport d’état et confiance
Distinguer identifiant opaque, données client et autorité serveur.
Open module → - 17 · 90 min
17. Set-Cookie, portée et préfixes
Comprendre ce que protège chaque attribut et ce qu’il laisse possible.
Open module → - 18 · 90 min
18. Cycle de session, fixation et élévation de privilèges
Gérer une identité dans le temps sans conserver un état ambigu.
Open module → - 19 · 90 min
19. CSRF : déclenchement d’une action sous une identité
Protéger les mutations auxquelles le navigateur joint un contexte d’authentification.
Open module → - 20 · 90 min
20. XSS : données, code et contexte de sortie
Choisir une API de rendu adaptée à chaque destination.
Open module →
03 — Défenses de contenu et caches
- 21 · 90 min
21. CSP : politique de chargement et déploiement progressif
Définir une politique compatible avec les besoins démontrés de la page.
Open module → - 22 · 90 min
22. Nonces CSP : imprévisibilité et cohérence
Lier l’autorisation d’un script au document prévu sans réutilisation aveugle.
Open module → - 23 · 90 min
23. Encadrement et clickjacking
Décider qui peut intégrer la page, indépendamment des cadres qu’elle charge.
Open module → - 24 · 90 min
24. HSTS : persistance d’une exigence HTTPS
Préparer le périmètre et la durée avant d’imposer la politique.
Open module → - 25 · 90 min
25. Types de contenu et refus d’interprétation imprévue
Aligner le type annoncé avec le contenu et son usage.
Open module → - 26 · 90 min
26. Referrer-Policy et données dans les URL
Limiter la diffusion de contexte sans supposer qu’un en-tête efface toutes les traces.
Open module → - 27 · 90 min
27. Caches : fraîcheur, stockage et confidentialité
Nommer le cache et sa clé avant de discuter de durée.
Open module → - 28 · 90 min
28. Cache-Control : no-cache, no-store et private
Lire les directives sans leur attribuer un sens intuitif erroné.
Open module → - 29 · 90 min
29. Vary et variantes de représentation
Faire correspondre clé HTTP et dimensions réellement utilisées.
Open module → - 30 · 90 min
30. Revalidation et mises à jour conditionnelles
Distinguer économie de lecture et prévention des mises à jour perdues.
Open module →
04 — Architecture, exploitation et vérification
- 31 · 90 min
31. Redirections, méthodes et destinations
Préserver le contrat de la demande sans transmettre le contexte à un tiers inattendu.
Open module → - 32 · 90 min
32. Host, Forwarded et confiance des mandataires
Définir qui est autorisé à décrire la requête d’origine.
Open module → - 33 · 90 min
33. SSRF et sorties HTTP du serveur
Réduire les destinations et la puissance d’un client HTTP piloté par des données.
Open module → - 34 · 90 min
34. Uploads, ZIP et budgets par couche
Valider le contenu reçu sans confondre découpage technique et import autonome.
Open module → - 35 · 90 min
35. Téléchargements et Content-Disposition
Séparer autorisation du fichier et présentation au navigateur.
Open module → - 36 · 90 min
36. Limitation de débit et budgets d’abus
Choisir l’unité protégée plutôt qu’un compteur arbitraire.
Open module → - 37 · 90 min
37. Authentification HTTP et autorisation métier
Interpréter les challenges sans réduire tous les refus au mot de passe.
Open module → - 38 · 90 min
38. Clients HTTP serveur : délais, tailles et reprises
Borner la consommation d’une dépendance avant d’ajouter des retries.
Open module → - 39 · 90 min
39. Journaux HTTP sans fuite et sans faux contexte
Conserver des preuves utiles tout en minimisant les données collectées.
Open module → - 40 · 90 min
40. Revue avancée et dossier de preuves HTTP
Transformer une liste de contrôles en démonstration limitée et reproductible.
Open module →
Capstone project
Revue HTTP d’un portail de réservation
Sur un portail de laboratoire, documentez le trajet navigateur, proxy, application et dépendances. Produisez une politique HTTP cohérente et les tests qui démontrent ses limites.
- Matrice méthodes, ressources, acteurs et statuts attendus.
- Cookies, CORS, CSRF, CSP et caches validés sur des parcours authentifiés et anonymes.
- Confiance proxy explicite, limites d’upload et budgets de temps mesurés.
- Journaux minimisés, scénarios de reprise et preuves de non-régression.
- Chaque décision renvoie à la menace, au contrôle, au test et au propriétaire.
View a suggested solution
Commencez par un inventaire des actifs et une capture de parcours nominal. Séparez politiques navigateur et contrôles serveur ; vérifiez ensuite les chemins de refus. Testez le cache avec deux identités, les limites à chaque couche et les dépendances simulées. Conservez configuration, version testée, résultats expurgés et critères d’acceptation ; corrigez les écarts avant d’annoncer une couverture.
Final practice exam
40 original questions · 80 minutes · practice target: 75%. Questions and choices are shuffled. The timer starts when you click Start; your attempt is submitted automatically at expiry. Unanswered questions score 0.
Independent practice exam. Question count, duration and target score are DIGITAL AVENIR teaching choices, not official exam scoring. Answers are included in the page for self-study; no certification credential is awarded.
Open the practice exam →