Sécuriser les téléversements sur un site d’événement
Portraits d’intervenants, logos et documents des participants ne suivent pas le même parcours. L’application doit d’abord recevoir le fichier de façon sûre; une personne décide ensuite de sa publication ou conservation.
La rédaction de Boletolibre
Publié
Recenser les parcours
Notez formulaire, objectif, déposant autorisé et lecteur futur. Séparez images publiques et documents privés. Pour un formulaire externe, identifiez qui contrôle accès et conservation.
Limiter et vérifier côté serveur
Autorisez uniquement les extensions nécessaires et une taille par usage. Le filtre du navigateur ne protège pas le serveur. Content-Type peut être falsifié; combinez vérifications du nom, du type et du contenu. Générez le nom stocké.[1]
Séparer réception privée et publication
Conservez les originaux hors du contenu exécutable et contrôlez lecture, remplacement et suppression. Publiez après validation. L’antivirus n’est qu’une couche; examinez le partage de documents privés avec tout service externe.[1]
Valider et éprouver le parcours
Un éditeur vérifie droit d’usage, données personnelles et destination. Testez types acceptés/refusés, taille, droits et absence d’URL publique pour un fichier en attente. Attribuez le retrait et la suppression.
Sources et lectures complémentaires
- File Upload Cheat SheetOWASP Cheat Sheet Series · Consulté