Audit de sécurité TranscribeFlow : OWASP Top 10 et au-delà

Plutôt que de promettre "top sécurité", voici concrètement ce qui sécurise TranscribeFlow en production.

OWASP Top 10

Injection (Drizzle ORM paramétrée), Broken auth (bcrypt + 2FA), Sensitive data exposure (AES-GCM), XML/XXE (n/a), Broken access control (RBAC + tenant isolation), Misconfig (Helmet headers strictes), XSS (React + DOMPurify), Insecure deserialization (Zod parsing), Vuln components (Snyk + Dependabot), Insufficient logging (pino + alerting).

Headers HTTP

Helmet configure : CSP strict, HSTS 1 an, X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin.

Rate limiting

express-rate-limit + Redis : 100 req/min par IP sur API, 5 tentatives/15min sur login.

Secrets

Tous les secrets en .env (jamais en code), encryption key séparée, rotation possible. Audit trail des accès admin.

Dependabot & Snyk

Updates auto des CVE critiques sous 24h. Snyk scan à chaque PR.

Pentest annuel

Engagement avec un pentester EU certifié (PASSI ou OSCP) une fois par an. Rapport partagé avec les clients sous NDA.