Accompagnement Sécurité — Startup SaaS B2B

Startup SaaS B2B — Équipe de 2 développeurs

3 mois

SaaS Web (OVH Cloud), API REST, React, PostgreSQL

Contexte de la mission

Le défi

Contexte

Une startup SaaS B2B préparait le lancement de sa plateforme mais ses prospects exigeaient des garanties de sécurité.

L'équipe de 2 développeurs manquait d'expertise sécurité interne malgré des délais serrés.

Objectifs

Sécuriser la plateforme avant la mise en production
Fournir un document de posture sécurité pour convaincre les prospects
Former l'équipe de développement aux bonnes pratiques sécurité

Déroulement

Découvertes clés

Périmètre testé

Revue d'architecture initiale
Revues de code à chaque sprint
Guidance technique sécurité
Pentest final avant mise en production

Méthodologie

Approche itérative en 3 phases : revue d'architecture et modélisation des menaces, revues de sécurité bimensuelles, puis pentest final en boîte grise.

Critique

Mots de passe de session stockés de manière non sécurisée, exposés aux attaques

Critique

Possibilité d'accéder aux données d'un autre utilisateur en modifiant l'URL

Élevé

Aucune protection contre les tentatives de connexion automatisées

Moyen

Configuration du serveur trop permissive pour les accès externes

Résultats

Livrables et recommandations

Livrables

12 vulnérabilités : 2 critiques, 4 élevées, 6 moyennes
Rapport technique avec preuves d'exploitation
Feuille de route de remédiation priorisée
Présentation et restitution orale

Recommandations

Sécuriser le stockage des sessions avec des cookies protégés
Vérifier systématiquement que chaque utilisateur n'accède qu'à ses propres données
Limiter les tentatives de connexion sur tous les points sensibles
Restreindre les accès au serveur aux seuls sites autorisés
Ajouter des tests de sécurité automatiques dans le processus de développement

Enseignements

Leçons apprises

Intégrer la sécurité dès le sprint 1 coûte 5x moins cher que de corriger en production
Les développeurs sans formation sécurité reproduisent systématiquement les mêmes erreurs (IDOR, JWT en localStorage)
Un document de posture sécurité est devenu un argument commercial décisif pour les startups B2B

Issue

Ce qui a changé

Le document de posture sécurité a permis de signer 3 premiers contrats clients. Coût estimé des corrections : 5 fois moins que si traitées en production.

Prochaines étapes