Cours complet · HTTP 1.1 / 2 / 3 · ASVS 5.0
HTTP — sécurité avancée, 40 leçons de cours
Quarante leçons autonomes pour analyser HTTP de bout en bout : sémantique, navigateurs, authentification, politiques de sécurité, caches, mandataires et exploitation. Chaque page contient un laboratoire corrigé et un contrôle original.
Votre progression apparaîtra ici lorsque JavaScript est actif.
La progression et le meilleur score sont enregistrés uniquement dans ce navigateur. Aucun compte n’est nécessaire ; effacer les données du navigateur les supprime. Les durées de modules sont indicatives et incluent les exercices.
Prérequis et environnement
- Maîtriser requêtes HTTP, JSON et une application de laboratoire.
- Disposer des outils réseau du navigateur et d’un client HTTP local.
- Connaître authentification, autorisation et différence entre test et production.
Compétences visées
- Reconstruire le trajet d’une requête et ses frontières de confiance.
- Justifier chaque politique navigateur, de cache et de mandataire.
- Concevoir des tests négatifs avec une preuve observable et une restauration.
- Construire un dossier de vérification réutilisable pour une revue de sécurité.
Programme du cours
01 — Protocole et responsabilités
- 01 · 90 min
01. Reconstituer le trajet HTTP
Identifier quelle couche accepte, transforme ou refuse chaque message.
Ouvrir le module → - 02 · 90 min
02. Méthodes et sémantique des opérations
Choisir une méthode selon le contrat et non selon la commodité du formulaire.
Ouvrir le module → - 03 · 90 min
03. Statuts et erreurs sans fuite
Exprimer un résultat protocolaire utile sans révéler l’état interne sensible.
Ouvrir le module → - 04 · 90 min
04. Idempotence et reprises après incident
Distinguer répétition du message et répétition de son effet.
Ouvrir le module → - 05 · 90 min
05. Champs, valeurs et frontières d’interprétation
Traiter les en-têtes comme un contrat structuré et non comme du texte libre.
Ouvrir le module → - 06 · 90 min
06. Content-Length et limites du corps
Mesurer les octets du bon message et réserver la marge d’encapsulation.
Ouvrir le module → - 07 · 90 min
07. Délimitation et encodage de transfert
Éviter des interprétations contradictoires entre parseurs.
Ouvrir le module → - 08 · 90 min
08. Désynchronisation et request smuggling
Défendre la frontière entre intermédiaires et serveur applicatif.
Ouvrir le module → - 09 · 90 min
09. HTTP/2 : multiplexage et contraintes partagées
Séparer concurrence logique et ressources de connexion.
Ouvrir le module → - 10 · 90 min
10. HTTP/3 : QUIC, pertes et garanties restantes
Identifier les gains du transport sans leur attribuer des garanties applicatives.
Ouvrir le module →
02 — Frontières du navigateur et identité
- 11 · 90 min
11. Origine, site et URL : trois notions distinctes
Calculer la frontière pertinente avant de configurer une politique.
Ouvrir le module → - 12 · 90 min
12. Same-origin policy : lecture et envoi
Décrire ce que le navigateur limite réellement.
Ouvrir le module → - 13 · 90 min
13. CORS : autoriser une lecture sans ouvrir les droits
Définir une liste d’origines autorisées liée à un usage réel.
Ouvrir le module → - 14 · 90 min
14. Preflight : intention annoncée et demande réelle
Tester les deux étapes du protocole CORS.
Ouvrir le module → - 15 · 90 min
15. Credentials CORS et frontières de cookies
Ne pas confondre demande d’envoi et permission effective.
Ouvrir le module → - 16 · 90 min
16. Cookies : transport d’état et confiance
Distinguer identifiant opaque, données client et autorité serveur.
Ouvrir le module → - 17 · 90 min
17. Set-Cookie, portée et préfixes
Comprendre ce que protège chaque attribut et ce qu’il laisse possible.
Ouvrir le module → - 18 · 90 min
18. Cycle de session, fixation et élévation de privilèges
Gérer une identité dans le temps sans conserver un état ambigu.
Ouvrir le module → - 19 · 90 min
19. CSRF : déclenchement d’une action sous une identité
Protéger les mutations auxquelles le navigateur joint un contexte d’authentification.
Ouvrir le module → - 20 · 90 min
20. XSS : données, code et contexte de sortie
Choisir une API de rendu adaptée à chaque destination.
Ouvrir le module →
03 — Défenses de contenu et caches
- 21 · 90 min
21. CSP : politique de chargement et déploiement progressif
Définir une politique compatible avec les besoins démontrés de la page.
Ouvrir le module → - 22 · 90 min
22. Nonces CSP : imprévisibilité et cohérence
Lier l’autorisation d’un script au document prévu sans réutilisation aveugle.
Ouvrir le module → - 23 · 90 min
23. Encadrement et clickjacking
Décider qui peut intégrer la page, indépendamment des cadres qu’elle charge.
Ouvrir le module → - 24 · 90 min
24. HSTS : persistance d’une exigence HTTPS
Préparer le périmètre et la durée avant d’imposer la politique.
Ouvrir le module → - 25 · 90 min
25. Types de contenu et refus d’interprétation imprévue
Aligner le type annoncé avec le contenu et son usage.
Ouvrir le module → - 26 · 90 min
26. Referrer-Policy et données dans les URL
Limiter la diffusion de contexte sans supposer qu’un en-tête efface toutes les traces.
Ouvrir le module → - 27 · 90 min
27. Caches : fraîcheur, stockage et confidentialité
Nommer le cache et sa clé avant de discuter de durée.
Ouvrir le module → - 28 · 90 min
28. Cache-Control : no-cache, no-store et private
Lire les directives sans leur attribuer un sens intuitif erroné.
Ouvrir le module → - 29 · 90 min
29. Vary et variantes de représentation
Faire correspondre clé HTTP et dimensions réellement utilisées.
Ouvrir le module → - 30 · 90 min
30. Revalidation et mises à jour conditionnelles
Distinguer économie de lecture et prévention des mises à jour perdues.
Ouvrir le module →
04 — Architecture, exploitation et vérification
- 31 · 90 min
31. Redirections, méthodes et destinations
Préserver le contrat de la demande sans transmettre le contexte à un tiers inattendu.
Ouvrir le module → - 32 · 90 min
32. Host, Forwarded et confiance des mandataires
Définir qui est autorisé à décrire la requête d’origine.
Ouvrir le module → - 33 · 90 min
33. SSRF et sorties HTTP du serveur
Réduire les destinations et la puissance d’un client HTTP piloté par des données.
Ouvrir le module → - 34 · 90 min
34. Uploads, ZIP et budgets par couche
Valider le contenu reçu sans confondre découpage technique et import autonome.
Ouvrir le module → - 35 · 90 min
35. Téléchargements et Content-Disposition
Séparer autorisation du fichier et présentation au navigateur.
Ouvrir le module → - 36 · 90 min
36. Limitation de débit et budgets d’abus
Choisir l’unité protégée plutôt qu’un compteur arbitraire.
Ouvrir le module → - 37 · 90 min
37. Authentification HTTP et autorisation métier
Interpréter les challenges sans réduire tous les refus au mot de passe.
Ouvrir le module → - 38 · 90 min
38. Clients HTTP serveur : délais, tailles et reprises
Borner la consommation d’une dépendance avant d’ajouter des retries.
Ouvrir le module → - 39 · 90 min
39. Journaux HTTP sans fuite et sans faux contexte
Conserver des preuves utiles tout en minimisant les données collectées.
Ouvrir le module → - 40 · 90 min
40. Revue avancée et dossier de preuves HTTP
Transformer une liste de contrôles en démonstration limitée et reproductible.
Ouvrir le module →
Projet de synthèse
Revue HTTP d’un portail de réservation
Sur un portail de laboratoire, documentez le trajet navigateur, proxy, application et dépendances. Produisez une politique HTTP cohérente et les tests qui démontrent ses limites.
- Matrice méthodes, ressources, acteurs et statuts attendus.
- Cookies, CORS, CSRF, CSP et caches validés sur des parcours authentifiés et anonymes.
- Confiance proxy explicite, limites d’upload et budgets de temps mesurés.
- Journaux minimisés, scénarios de reprise et preuves de non-régression.
- Chaque décision renvoie à la menace, au contrôle, au test et au propriétaire.
Voir une proposition de correction
Commencez par un inventaire des actifs et une capture de parcours nominal. Séparez politiques navigateur et contrôles serveur ; vérifiez ensuite les chemins de refus. Testez le cache avec deux identités, les limites à chaque couche et les dépendances simulées. Conservez configuration, version testée, résultats expurgés et critères d’acceptation ; corrigez les écarts avant d’annoncer une couverture.
Examen blanc final
40 questions originales · 80 minutes · objectif pédagogique : 75 %. Les questions et choix sont mélangés. Le temps commence au clic sur Démarrer ; à expiration, les réponses sont corrigées automatiquement. Une question sans réponse vaut 0 point.
Examen d’entraînement indépendant. Le nombre de questions, la durée et le seuil sont des choix pédagogiques DIGITAL AVENIR, sans équivalence avec un barème officiel. Les réponses sont présentes dans la page pour l’autoformation ; aucun titre de certification n’est délivré.
Accéder à l’examen blanc →