Sécurité · Question 4 sur 12
Un formulaire de contact ne valide ses saisies que dans le navigateur avec l'attribut HTML required et du JavaScript. Pourquoi est-ce insuffisant du point de vue de la sécurité ?
1 réponse est correcte. Facile
Afficher la solution
Solution
- B Un attaquant peut envoyer des requêtes directement au serveur et contourner la vérification dans le navigateur
Explication
Tout ce qui s'exécute dans le navigateur est sous le contrôle de l'utilisateur : il peut désactiver JavaScript, modifier le HTML dans les outils de développement ou construire la requête lui-même avec curl. Les vérifications côté navigateur n'améliorent donc que l'ergonomie, car les erreurs s'affichent immédiatement. La validation qui fait foi doit toujours avoir lieu sur le serveur, dans TYPO3 par exemple avec les validateurs du Form Framework ou avec les validateurs Extbase. required fonctionne indépendamment de HTTPS ; le problème n'est pas le navigateur, mais le fait qu'on ne doit pas lui faire confiance.