C08-T016 · Autorisations / droits / rôles
Contrôle des permissions côté serveur
« Contrôle des permissions côté serveur » : Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Comment lire le résultat
Ce contrôle nécessite le scénario, l’accès ou la preuve indiqués dans le périmètre du rapport. Une page publique seule ne permet pas de conclure.
Ce qu’il faut corriger
Vérifiez l’autorisation côté serveur pour chaque objet et chaque action, puis corrigez la règle du rôle concerné.
Étapes de correction
- Dans le rapport, ouvrez le contrôle C08-T016 et relevez son statut, sa valeur mesurée, son URL et sa preuve. Si la mesure est absente, complétez le contrôle avant de corriger.
- Retrouvez dans les politiques d’autorisation, rôles et contrôleurs de l’API le réglage ou le parcours associé à « Contrôle des permissions côté serveur ». Notez la valeur actuelle et les cas qui en dépendent.
- Vérifiez l’autorisation côté serveur pour chaque objet et chaque action, puis corrigez la règle du rôle concerné.
- Vérifiez le résultat sur le même périmètre : le rôle autorisé réussit et un autre rôle reçoit un refus, sans fuite de données. Conservez la preuve et relancez C08-T016 dans AxiSecurity.
Preuve attendue
le rôle autorisé réussit et un autre rôle reçoit un refus, sans fuite de données.