"Frontend = sécurité"… j'ai vu ça sur internet et j'ai souri. Le fait d'avoir dans un menu déroulant ADMIN, ANNONCEUR, DIFFUSEUR n'est PAS un problème en soi. Le vrai problème est ailleurs.
Les vraies questions à se poser
Est-ce qu'un utilisateur peut s'auto-attribuer le rôle ADMIN ? Est-ce que le backend vérifie réellement les permissions à chaque requête ? Est-ce que les routes sensibles sont protégées côté serveur, et pas seulement cachées côté client ?
Le frontend affiche, le backend autorise
On peut cacher "ADMIN" dans l'interface autant qu'on veut — si le backend ne vérifie rien, n'importe qui peut se créer un royaume avec un outil comme Postman en appelant directement l'API. Cette différence entre affichage et autorisation, c'est littéralement la sécurité d'une application.
C'est un principe qu'on applique sur chaque projet chez AKATech : les permissions sont toujours vérifiées côté serveur, jamais seulement masquées côté interface. La sécurité ne vit jamais dans l'UI.
Un doute sur la sécurité de votre application ?
Nous contacter
