Skip to main content

Documentation Index

Fetch the complete documentation index at: https://docs.qaos.machdel.com/llms.txt

Use this file to discover all available pages before exploring further.

​
Les vulnérabilités cryptographiques exposent les données en transit ou permettent l’interception du trafic. Ces problèmes proviennent généralement d’en-têtes de sécurité manquants ou mal configurés et de politiques CORS trop permissives.

​
misconfigured-security-headers

Élevé Description Les en-têtes de réponse HTTP qui protègent contre les attaques courantes côté navigateur sont manquants ou mal configurés. Cela inclut HSTS, Content-Security-Policy, X-Frame-Options et X-Content-Type-Options. Importance Les en-têtes de sécurité sont la dernière ligne de défense du navigateur. Des en-têtes manquants laissent les utilisateurs vulnérables aux attaques de rétrogradation, au clickjacking, au sniffing de type MIME et à l’escalade XSS — même si le code de l’application lui-même est sécurisé. Comment QAOS le détecte L’agent vérifie les en-têtes de réponse HTTP pour la présence et l’exactitude des en-têtes de sécurité clés. En-têtes fréquemment manquants
En-têteRisque si manquant
Strict-Transport-SecurityAttaques de rétrogradation HTTP
Content-Security-PolicyEscalade XSS
X-Frame-OptionsClickjacking
X-Content-Type-OptionsSniffing MIME
Referrer-PolicyFuite d’URL
Comment corriger Ajoutez ces en-têtes aux réponses de votre serveur : 
Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
La plupart des frameworks supportent un middleware pour cela : 
// Express.js avec Helmet
const helmet = require('helmet')
app.use(helmet())

​
misconfigured-cors

Élevé Description Le serveur retourne Access-Control-Allow-Origin: * (ou reflète n’importe quelle origine) sur des endpoints qui retournent des données sensibles, permettant à n’importe quel site web d’effectuer des requêtes cross-origin authentifiées et de lire la réponse. Importance Une politique CORS avec caractère générique combinée à Access-Control-Allow-Credentials: true permet à n’importe quel site web malveillant d’effectuer des requêtes vers votre API au nom de vos utilisateurs connectés et de lire la réponse. Cela contourne effectivement la Same-Origin Policy. Comment QAOS le détecte L’agent vérifie les en-têtes de réponse HTTP pour Access-Control-Allow-Origin: * ou des valeurs d’origine reflétées sur les endpoints API sensibles. Exemples 
# Vulnérable : CORS avec caractère générique sur une API authentifiée
Access-Control-Allow-Origin: *
Access-Control-Allow-Credentials: true
Comment corriger Maintenez une liste d’autorisation explicite d’origines de confiance et validez par rapport à elle : 
# Middleware CORS FastAPI
from fastapi.middleware.cors import CORSMiddleware
app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://app.example.com"],  # liste explicite, jamais "*"
    allow_credentials=True,
    allow_methods=["GET", "POST"],
)