[Sécu] préparer liste des questions suite à audit

[numew]

Et faire suivre à Thomas

[sfinx13]

Mes questions :

1. Sur la base des vulnérabilités identifiées, nous aimerions savoir concrètement lesquelles nous permettent de passer d’un niveau de sécurité perfectible à un bon niveau de sécurité.

2. En quoi l’obfuscation du code source client serait-elle pertinente dans notre cas, sachant que le projet est open source et disponible sur GitHub ? Quels bénéfices concrets cela nous apporterait-il en termes de sécurité ? D'ailleurs aucune données sensibles (secrets, clé api) n'est exposé sur le code source client.

3. Nous n'avons pas obtenu le même résultat de l'audit avec l'outil utilisé (voir PJ). De plus, le certificat SSL en production (Autorité Let’s Encrypt) est différent de celui utilisé sur la plateforme de demo (Autorité Gandi). Toutes nos excuses, nous avons oublié de le mentionner.
   Pouvez-vous réaliser un nouvel audit du certificat, cette fois-ci sur https://histologe.beta.gouv.fr/, afin de clarifier la situation ?

testssl-prod.txt
testssl-demo.txt