Protéger les données clients des applications web et mobiles

Une API mal protégée, un téléphone perdu ou un compte administrateur compromis peuvent exposer des données clients. Pour une entreprise qui conçoit ou commande une application, la protection repose donc sur plusieurs choix complémentaires : quelles données conserver, qui peut y accéder et comment réagir en cas d’incident.

Le bon réflexe consiste à rendre ces choix explicites et vérifiables dès la conception, puis à les maintenir pendant toute la vie du produit.

Cartographier les données avant de choisir les outils

Recensez les informations collectées, leur finalité, leurs destinations et leur durée de conservation. Ne vous limitez pas à la base principale : incluez les outils d’analyse, le support, les journaux, les sauvegardes et les services tiers. Désignez un responsable pour chaque flux important.

Supprimez ensuite les champs et les intégrations sans utilité claire. Prévoyez des durées de conservation et une procédure de suppression qui tient compte des copies et des sauvegardes. Pour le développement et les tests, privilégiez lorsque c’est possible des données synthétiques ou convenablement désidentifiées. Là où le RGPD s’applique, la minimisation et la limitation de la conservation font partie des principes présentés par la Commission européenne.

Vérifier les droits côté serveur

L’authentification vérifie l’identité du compte ; l’autorisation détermine ce qu’il peut consulter ou modifier. Imposez une authentification multifacteur aux administrateurs et envisagez, selon les risques, des méthodes résistantes à l’hameçonnage comme les clés d’accès. La récupération de compte doit elle aussi être protégée. Les directives du NIST sur l’identité numérique aident à choisir des mesures adaptées.

Pour chaque requête sensible, y compris les appels API et les téléchargements, faites respecter les droits dans le code côté serveur. Refusez l’accès par défaut, limitez les privilèges et vérifiez l’appartenance du dossier ou de l’enregistrement au bon client. Masquer un bouton ne suffit pas. Par exemple, un utilisateur ne doit pas pouvoir consulter la facture d’un autre client simplement en modifiant son identifiant dans une requête. OWASP décrit ces défauts de contrôle d’accès et leur prévention.

Protéger les échanges, le stockage et les appareils

Utilisez HTTPS avec une validation correcte des certificats pour les échanges entre l’application et ses services. Chiffrez les données sensibles et les sauvegardes selon leur niveau de risque. Gérez les clés séparément des données protégées, limitez leur accès et prévoyez leur rotation ainsi que leur récupération. Le chiffrement ne remplace pas les contrôles d’accès : une application capable de déchiffrer peut toujours transmettre une information au mauvais utilisateur.

Sur mobile, évitez de conserver localement des données sensibles sans nécessité. Lorsque le stockage local est indispensable, utilisez les mécanismes appropriés de la plateforme, notamment Keychain sur iOS et Android Keystore pour les secrets et les clés concernés. Examinez aussi les caches, notifications, sauvegardes et journaux, puis effacez les données locales devenues inutiles. Le référentiel OWASP MASVS aide à vérifier le client mobile ; les services auxquels il se connecte doivent être évalués séparément.

Tester la sécurité tout au long du projet

Identifiez les scénarios d’abus plausibles : prise de contrôle d’un compte, accès aux données d’un autre client ou exposition d’une interface d’administration. Avant chaque mise en production, associez revue de code, contrôles automatisés et tests manuels ciblés. Examinez notamment les dépendances, les configurations, les sessions et les autorisations.

Le Top 10 OWASP 2025 permet de repérer les grandes familles de risques. Pour définir des critères de validation plus précis, sélectionnez les exigences pertinentes de l’OWASP Application Security Verification Standard. Testez par exemple avec deux comptes et plusieurs rôles : tentez de lire, modifier et télécharger les données de l’autre compte depuis l’interface et directement via l’API. Documentez les anomalies, attribuez leur correction et vérifiez de nouveau les correctifs.

Préparer la réponse aux incidents

Journalisez les événements utiles, comme les échecs de connexion, les refus d’accès et les changements effectués avec des droits élevés, sans enregistrer de mots de passe, de jetons d’accès ou de données clients superflues. Protégez les journaux et prévoyez des alertes réellement suivies. Conservez des sauvegardes protégées et testez régulièrement leur restauration, y compris les délais et les accès nécessaires.

Un plan d’incident doit préciser le confinement, la préservation des éléments utiles, la communication et les décisions de notification. Les obligations varient selon les pays. Lorsque le RGPD s’applique, le responsable du traitement doit généralement notifier l’autorité compétente dans les 72 heures après avoir pris connaissance d’une violation de données personnelles, sauf si celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes ; un retard doit être motivé. Consultez le résumé du Comité européen de la protection des données et sollicitez un conseil juridique adapté à votre situation.

Clarifier les responsabilités avec les partenaires

Que le projet soit réalisé en interne, confié à un prestataire ou renforcé par une équipe externe, définissez dès le départ les responsabilités relatives à l’infrastructure, aux données, aux clés, aux correctifs, à la surveillance et aux incidents. Demandez quels sous-traitants et services de traitement interviennent, quels accès leur sont nécessaires et comment les données et les accès seront restitués ou supprimés en fin de mission.

Prévoyez des livrables vérifiables : schéma des flux, registre priorisé des anomalies, résultats de tests avec leur périmètre et leur date, et plan de maintenance. Le guide Secure by Demand de la CISA propose des questions utiles pour évaluer les fournisseurs de logiciels. Les services d’Altweeb en développement logiciel, conseil technologique et renforcement d’équipe peuvent s’inscrire dans ce type de projet ; le périmètre et les responsabilités de sécurité sont à convenir pour chaque mission.

Par quoi commencer ?

Si les moyens sont limités, commencez par inventorier les données sensibles, corriger les accès entre comptes clients, sécuriser les comptes administrateurs et vérifier la restauration des sauvegardes. Désignez ensuite un responsable du suivi et répétez les tests dans la durée. Aucune mesure ne garantit une sécurité parfaite, mais un processus documenté et vérifié rend la protection plus maîtrisable.

Pour approfondir ce sujet, découvrez aussi LawFirmApp : logiciel de gestion pour cabinets d’avocats au Maroc.