Rapport d'Évaluation de Sécurité & Plan de Durcissement
Audit exhaustif de code source, tests de résistance aux cyberattaques (boîte blanche / boîte grise) et remédiation des contrôles d'accès de la plateforme de production duerpgo.fr.
Résumé Exécutif Non Technique
La plateforme DUERP Go ! a fait l'objet le 05 octobre 2026 d'un audit de sécurité technique approfondi préalablement à la montée en charge de ses services d'archivage réglementaire 40 ans et de gestion des avenants post-accident (Code du travail L. 4121-3).
L'objectif de cette démarche a consisté à éprouver la robustesse de l'application face aux scénarios d'attaques modernes (tentatives de compromission de comptes professionnels, exfiltration de documents uniques d'évaluation des risques, falsification de signatures électroniques et attaques par force brute), afin de garantir une étanchéité absolue et conforme aux exigences de l'ANSSI et du RGPD.
Périmètre & Objectifs de l'Audit
L'audit a couvert l'ensemble des briques applicatives, d'authentification et de stockage constitutives du service DUERP Go ! :
- Portail Web Public & Générateur : formulaire d'évaluation des risques en 5 étapes, calcul des matrices INRS et interface de commande Stripe.
- Espace Client Professionnel : système d'authentification double-clé (SIRET + Référence unique) et validation OTP par courrier électronique.
- Moteur d'Archivage Cryptographique (Coffre-Fort 40 ans) : déchiffrement éphémère en mémoire vive (RAM) AES-256-GCM et scellement d'empreintes SHA-256.
- Endpoints d'API REST & Webhooks : vérification de l'intégrité des signatures Stripe, isolation des requêtes SQL PDO et contrôles d'accès aux PDF.
- Infrastructure Serveur & Configuration Réseau : en-têtes de sécurité HTTP (HSTS, CSP, X-Frame-Options), gestion des règles d'accès Apache et TLS 1.3.
Méthodologie & Référentiels d'Évaluation
Conformément aux standards de l'ANSSI et aux 4 piliers d'audit de cybersécurité reconnus par la profession (Audit technique, Audit de code, Audit de configuration et Audit organisationnel), les investigations ont combiné :
1. Audit de Code Source (Boîte Blanche)
Revue ligne par ligne des scripts PHP 8.5 et Node.js. Recherche d'injections SQL, de faiblesses cryptographiques, de fuites d'informations et de logiques métiers faillibles.
2. Test d'Intrusion Applicatif (Boîte Grise)
Simulation de tentatives d'usurpation de session, de falsification de statuts de paiement, de traversée de chemin (path traversal) et de force brute sur les mécanismes d'OTP.
Référentiels appliqués :
- OWASP Top 10 (Web Application Security Risks) : A01 (Broken Access Control), A02 (Cryptographic Failures), A03 (Injection), A07 (Identification and Authentication Failures).
- Guide d'hygiène informatique de l'ANSSI : durcissement des serveurs web, séparation des privilèges et chiffrement des données au repos et en transit.
- Règlement Général sur la Protection des Données (RGPD - Art. 32) : garantie de sécurité du traitement et confidentialité des données de santé au travail.
Synthèse des Familles de Risques & Bilan
Dans un esprit de transparence responsable et sans communiquer d'informations techniques exploitables par des tiers malveillants, voici la cartographie synthétique des risques éprouvés :
| Famille de Risque | Gravité Initiale | Description Synthétique | Statut Actuel |
|---|---|---|---|
| Authentification & OTP | Critique | Présence d'un code résiduel de test et fuite du token dans l'environnement de développement. | ✓ Corrigé & Validé |
| Contrôle d'Accès & Énumération | Élevée | Possibilité de ciblage partiel sur les requêtes de recherche documentaire via filtres non stricts. | ✓ Corrigé & Validé |
| Résilience Anti-Brute Force | Moyenne | Absence de temporisation et de blocage après échecs répétés sur la saisie du code secret à 6 chiffres. | ✓ Corrigé & Validé |
| Cryptographie & Canaux Auxiliaires | Moyenne | Comparaison standard de chaînes sensible aux micro-variations de temps d'exécution (timing attacks). | ✓ Corrigé & Validé |
| Intégrité du Système de Fichiers | Moyenne | Risque théorique de traversée de chemin (path traversal) sur les requêtes de fichiers statiques. | ✓ Corrigé & Validé |
| Divulgation d'Erreurs BDD | Faible | Messages d'erreur internes renvoyés en clair en cas d'interruption accidentelle de service BDD. | ✓ Corrigé & Validé |
| Durcissement Réseau & Headers | Moyenne | Absence d'en-tête HSTS, de politique CSP et d'interdiction d'accès aux fichiers sensibles système. | ✓ Corrigé & Validé |
Plan de Remédiation & Mesures Déployées
Toutes les anomalies identifiées lors de l'audit ont fait l'objet d'un plan de correction prioritaire exécuté le jour même (05/10/2026) avec validation unitaire et déploiement en production :
Suppression définitive de tout mécanisme de contournement. Les codes OTP sont désormais salés, hachés en base et comparés en temps constant via la primitive cryptographique
hash_equals(). Le code temporaire n'est plus jamais retourné dans les flux HTTP distants.
Limitation à 5 demandes de codes par tranche de 10 minutes par adresse IP. Dès 5 saisies erronées successives, le code OTP est immédiatement invalidé en base de données, bloquant toute tentative d'attaque par dictionnaire ou force brute automatisée.
Remplacement systématique de tous les filtres partiels par des requêtes d'égalité stricte (
dossier_number = :dossier). Il est rigoureusement impossible de balayer ou d'énumérer les dossiers clients sans posséder la clé exacte.
Activation de la directive HSTS (Strict-Transport-Security) sur 1 an avec préchargement, déploiement d'une Content-Security-Policy (CSP) stricte, désactivation de l'énumération des répertoires (
Options -Indexes) et blocage HTTP 403 systématique sur toute tentative d'accès aux fichiers système ou cachés.
Architecture de Protection & Coffre-Fort 40 Ans
La politique de sécurité de DUERP Go ! repose sur une architecture Zero Trust assurant que les documents uniques et données d'évaluation des risques ne peuvent être interceptés, modifiés ou perdus :
2. TRANSIT : Chiffrement TLS 1.3 obligatoire (ECDHE-RSA / AES-GCM-256)
3. DÉCHIFFREMENT: À la volée en mémoire vive (RAM) éphémère après accord OTP
4. DISQUE DÛ : Zéro PDF en clair stocké sur le serveur (étanchéité absolue)
5. PREUVE 40 ANS: Empreinte SHA-256 scellée et opposable (Art. L. 4121-3-1)
Cette conception répond point par point aux obligations du Code du travail imposant à l'employeur de conserver les versions successives du DUERP pendant une durée minimale de quarante ans, tout en garantissant aux salariés et aux services de prévention (SPST) un accès sécurisé aux informations relatives à leur exposition passée.
Gouvernance, Cycle des Audits & Gestion des Incidents
La sécurité ne constituant pas un état figé mais un processus d'amélioration continue, DUERP Go ! formalise les engagements suivants :
- Audit Annuel Systématique : un test d'intrusion applicatif et une revue de configuration sont conduits chaque année.
- Audit Déclenché sur Évolution Majeure : toute modification architecturale ou ajout de flux documentaire déclenche une revue de sécurité préalable.
- Veille & Mises à Jour Mensuelles : application rigoureuse des correctifs de sécurité des dépendances logicielles et des firmwares hébergeurs.
Procédure de Notification en cas d'Incident (RGPD Art. 33 & 34) :
En cas de violation de données avérée présentant un risque pour les droits et libertés des personnes physiques, DUERP Go ! s'engage à notifier la CNIL dans un délai maximal de 72 heures après en avoir pris connaissance, ainsi qu'à informer individuellement et dans les meilleurs délais l'ensemble des responsables d'entreprises concernés.