Parce que la sécurité est un processus et pas une fin en soi, il est important de l’intégrer à tous les niveaux de son applicatif, de manière continue et pas simplement quand on y pense ou à la fin, quand c’est l’heure de releaser.

Évidemment en phase de production / pre-prod / test cela se fait avec des outils comme le Bug Bounty. Et en amont, durant les phases de développement, cela peut se faire en formant les développeurs à coder de manière sécurisée et aussi avec des outils d’analyse de code comme ce que propose GuardRails dont je vais vous parler dans cet article.

GuardRails est une application Github gratuite capable d’analyser automatiquement les pull requests de tous vos dépôts publics ou privé. Lorsqu’il détecte un problème liés à la sécurité dans le code, il vous avertit et charge à vous de le corriger ensuite.

Évidemment, ça ne remplacera jamais une recherche de vulnérabilités faites par des experts (Bug Bounty FTW) mais cette approche est intéressante, car elle est un complément, permettant de surveiller son code à chaque fois qu’on le pousse sur le serveur Git. Cela évite de se faire embourber en cumulant les petites négligences.

GuardRails s’installe en un clic sur Github en passant par ici.