Un chat utile pour acheter un domaine montre les bons documents à la bonne personne. Une interface soignée ne remplace pas la vérification des droits de lecture et de téléchargement. DÉCRIRE D’ABORD LA CONVERSATION Associez chaque discussion à un acheteur, un domaine ou une commande, et aux collaborateurs autorisés du vendeur. Scénario proposé : l’acheteur A ouvre son dialogue; B tente la même adresse; un employé sans droit de messagerie vérifie l’accès; le dialogue est fermé. Écrivez les résultats attendus avant le test. Utilisez des documents fictifs plutôt que des pièces d’identité ou dossiers financiers réels. Désignez un responsable pour chaque écart observé. CONTRÔLER CHAQUE OPÉRATION OWASP recommande une autorisation côté serveur, plutôt que des boutons simplement cachés. Vérifiez la lecture de l’historique, l’envoi, le téléversement et l’obtention d’un lien de téléchargement. L’identifiant d’une discussion dans une URL n’est pas une permission. Recommencez après un changement de rôle ou l’expiration de la session. Une conversation fermée peut rester consultable; définissez explicitement l’envoi de nouveaux messages. Testez les requêtes directes et l’interface normale. LIMITER LES INFORMATIONS ÉCHANGÉES Demandez seulement ce qui sert à l’étape précise du transfert. Une question sur le nom peut rester textuelle. Les mots de passe du registrar et codes de connexion à usage unique n’ont pas leur place dans la correspondance. Si un document contient des détails superflus, demandez une copie réduite avant son dépôt, au lieu d’exposer la version complète par un lien public. Expliquez brièvement ce qui est demandé et pourquoi. TRAITER LES PIÈCES JOINTES COMME UN PROCESSUS Définissez les formats acceptés et une limite de taille. Vérifiez le contenu réel, pas uniquement le nom. Après autorisation, distribuez le document par un mécanisme privé contrôlé plutôt que par une URL publique permanente. Attribuez la responsabilité des vérifications, erreurs et durées de conservation. Pour l’exercice, utilisez un PDF inoffensif décrivant une transaction fictive et une image sans données personnelles. Notez séparément dépôt, inspection et téléchargement. TESTER AUSSI L’INTERFACE Passez rapidement entre deux discussions de test : aucun ancien message ne doit apparaître sous le nouveau domaine. Vérifiez progression de l’envoi, panne réseau et actualisation au retour dans l’onglet. Une indication de lecture doit correspondre à un événement défini. Un échange sûr repose sur un processus compréhensible et des limites vérifiées, pas sur un cadenas décoratif. Catalogue de domaines: https://domainevery.com/fr/domains Sources primaires: https://cheatsheetseries.owasp.org/cheatsheets/Authorization_Cheat_Sheet.html https://cheatsheetseries.owasp.org/cheatsheets/File_Upload_Cheat_Sheet.html
