Skip to content

docs(fr): translate GUID/authorization note for API1:2023 #174

New issue

Have a question about this project? Sign up for a free GitHub account to open an issue and contact its maintainers and the community.

Sign up for GitHub

By clicking “Sign up for GitHub”, you agree to our terms of service and privacy statement. We’ll occasionally send you account related emails.

Already on GitHub? Sign in to your account

Open
musabustun wants to merge 1 commit into
base: develop
Choose a base branch
from
Open

docs(fr): translate GUID/authorization note for API1:2023 #174

Changes from all commits
Commits
Show all changes
1 commit
Select commit
File filter

Filter by extension

Filter by extension
Conversations
Failed to load comments.
Loading
Jump to
Jump to file
Failed to load files.
Loading
Diff view
Diff view
6 changes: 3 additions & 3 deletions editions/2023/fr/0xa1-broken-object-level-authorization.md
View file
Open in desktop
Original file line number Diff line number Diff line change
Expand Up @@ -55,11 +55,11 @@ L'API ne vérifie pas si l'utilisateur connecté a les autorisations pour suppri
* Préférez l'utilisation de valeurs GUID aléatoires et imprévisibles pour les ID.
* Écrivez des tests pour évaluer la vulnérabilité du mécanisme d'autorisation. Ne déployez pas de modifications qui feraient échouer les tests.

**Note** (translators: please translate this note; kept in English as a placeholder so it is not missed)
**Note**

* Using GUIDs/UUIDs instead of predictable identifiers helps mitigate object enumeration attacks. However, once a valid identifier is disclosed—whether through another endpoint, excessive data exposure, logging, or another vulnerability—it should be treated as public information.
* L'utilisation de GUID/UUID plutôt que d'identifiants prévisibles aide à limiter les attaques par énumération d'objets. Cependant, une fois qu'un identifiant valide est divulgué — que ce soit via un autre point d'accès (endpoint), une exposition excessive de données, la journalisation (logging) ou une autre vulnérabilité — il doit être considéré comme une information publique.

* Authorization decisions must never rely on the secrecy or unpredictability of object identifiers. Every request must independently verify that the authenticated user is authorized to access the requested object.
* Les décisions d'autorisation ne doivent jamais reposer sur le secret ou l'imprévisibilité des identifiants d'objet. Chaque requête doit vérifier de manière indépendante que l'utilisateur connecté est autorisé à accéder à l'objet demandé.

## Références

Expand Down