Liste de contrôle pour l'audit d'une application PHP

01

Contexte et propriété

Qui décide, exploite et comprend le système ?

Les objectifs, les utilisateurs et les flux critiques sont documentés.Les dépôts, les domaines, l'infrastructure et les fournisseurs ont des propriétaires.Les responsables des activités, des produits, du code, des données et des opérations sont identifiés.Les fenêtres de déploiement et la tolérance aux temps d'arrêt sont comprises.

02

Code et dépendances

Ce qui peut être modifié sans risque.

Les versions de PHP, des frameworks, des extensions et de Composer sont inventoriées.Le projet s'installe à partir d'une copie propre en suivant des instructions vérifiées.Les limites du domaine, de l'infrastructure et de l'interface sont compréhensibles.Des dépendances abandonnées et des duplications ont été identifiées.

03

Données et intégrations

Origine, qualité et constance.

Les tableaux, le volume, la rétention et les données sensibles sont identifiés.Les migrations de schémas sont versionnées, examinées et réversibles.Les API, les webhooks, les importations et les tâches planifiées sont inventoriés.Les nouvelles tentatives permettent d'éviter les opérations en double.

04

Sécurité

Contrôles liés au risque réel.

L'authentification, l'autorisation et les sessions suivent une politique connue.Les données d'entrée, les requêtes, le HTML et les fichiers sont validés en fonction du contexte.Les secrets et les identifiants ne sont pas intégrés au référentiel.Les dépendances vulnérables font l'objet d'un processus d'évaluation et de réponse.

05

Tests et livraison

Changer sans faire appel à sa mémoire.

Les flux critiques sont automatisés ou disposent d'un script de test vérifié.Un environnement représentatif permet de valider les modifications.La publication comporte des étapes, des responsables, des vérifications et une fonction de restauration.La définition de « terminé » inclut la revue, les tests et la documentation.

06

Opérations

Détecter et récupérer.

Les journaux peuvent suivre une requête ou une opération pertinente.Les indicateurs et les alertes permettent de relier l'impact à l'action.Les sauvegardes ont été effectuées et la restauration a été testée.Il existe des manuels d'exploitation pour les incidents et les tâches récurrentes.

Utilisation recommandée

Transformer les réponses en décisions

Rassemblez les liens vers les preuves pour chaque réponse.
Distinguer le risque immédiat de l'amélioration structurelle.
Attribuer un responsable et un prochain contrôle à chaque personne inconnue.
Transformez les résultats en un plan par étapes, et non en une simple liste.

Étape suivante

Contenu lié à cette décision

Poursuivre le diagnostic, l'exécution ou l'expérience connexe.