From 203db74636c57c98ac7ec780614ab30572d4ac98 Mon Sep 17 00:00:00 2001 From: musabustun Date: Sun, 13 Sep 2026 09:01:42 +0300 Subject: [PATCH] docs(fr): translate GUID/authorization note for API1:2023 MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit The note clarifying that GUIDs/UUIDs are not an authorization control (added in English as a translator placeholder, see #154/#155) was still untranslated in the French edition of Broken Object Level Authorization. Translated both bullets, keeping the doc's established terminology (point d'accès (endpoint), utilisateur connecté) consistent with the rest of the file. Same note, same placement, as the merged Italian translation (#172). Closes #158 Co-Authored-By: Claude Sonnet 5 --- editions/2023/fr/0xa1-broken-object-level-authorization.md | 6 +++--- 1 file changed, 3 insertions(+), 3 deletions(-) diff --git a/editions/2023/fr/0xa1-broken-object-level-authorization.md b/editions/2023/fr/0xa1-broken-object-level-authorization.md index 7a31f68c..4147a9aa 100644 --- a/editions/2023/fr/0xa1-broken-object-level-authorization.md +++ b/editions/2023/fr/0xa1-broken-object-level-authorization.md @@ -55,11 +55,11 @@ L'API ne vérifie pas si l'utilisateur connecté a les autorisations pour suppri * Préférez l'utilisation de valeurs GUID aléatoires et imprévisibles pour les ID. * Écrivez des tests pour évaluer la vulnérabilité du mécanisme d'autorisation. Ne déployez pas de modifications qui feraient échouer les tests. -**Note** (translators: please translate this note; kept in English as a placeholder so it is not missed) +**Note** -* Using GUIDs/UUIDs instead of predictable identifiers helps mitigate object enumeration attacks. However, once a valid identifier is disclosed—whether through another endpoint, excessive data exposure, logging, or another vulnerability—it should be treated as public information. +* L'utilisation de GUID/UUID plutôt que d'identifiants prévisibles aide à limiter les attaques par énumération d'objets. Cependant, une fois qu'un identifiant valide est divulgué — que ce soit via un autre point d'accès (endpoint), une exposition excessive de données, la journalisation (logging) ou une autre vulnérabilité — il doit être considéré comme une information publique. -* Authorization decisions must never rely on the secrecy or unpredictability of object identifiers. Every request must independently verify that the authenticated user is authorized to access the requested object. +* Les décisions d'autorisation ne doivent jamais reposer sur le secret ou l'imprévisibilité des identifiants d'objet. Chaque requête doit vérifier de manière indépendante que l'utilisateur connecté est autorisé à accéder à l'objet demandé. ## Références