Les codeurs conquièrent la sécurité : Share & Learn Series - Redirections et renvois non validés
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]


Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux pour vos utilisateurs et votre organisation.
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.


Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]

Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]

Cliquez sur le lien ci-dessous et téléchargez le PDF de cette ressource.
Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Voir le rapportRéservez une démonstrationJaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.
Le codage d'un site web ou d'une application avec la capacité de traiter des redirections et des transferts non validés peut être extrêmement dangereux à la fois pour vos utilisateurs et pour votre organisation. Cette erreur courante est souvent exploitée par des pirates qui cherchent à perpétrer des escroqueries par hameçonnage ou à accéder à des pages et à des informations qui seraient normalement restreintes.
Chaque fois qu'une application web est conçue pour renvoyer les utilisateurs vers de nouvelles pages, il y a un risque que ces requêtes soient manipulées ou détournées. Cela peut se produire s'il n'y a pas de processus de validation en place pour empêcher les paramètres de transfert de pointer vers des destinations non souhaitées.
La bonne nouvelle, c'est que les redirections et les transferts non validés sont l'une des vulnérabilités les plus faciles à éliminer de votre environnement. Une fois qu'ils ont été supprimés, vous pouvez prendre quelques mesures simples pour vous assurer qu'ils ne seront plus jamais générés à l'avenir.
Dans cet épisode, vous apprendrez
- Comment les pirates exploitent les vulnérabilités des redirections et des transferts non validés
- Pourquoi il peut être dangereux d'autoriser des redirections et des transferts non validés ?
- Les politiques et les techniques qui peuvent être employées pour trouver et résoudre ce problème.
Comment les attaquants exploitent-ils les redirections et les transferts non validés ?
Les attaquants doivent d'abord trouver une application web qui est configurée pour rediriger les utilisateurs vers une ou plusieurs pages spécifiques. Si la page de destination est définie dans le code, il n'y a pas de vulnérabilité. Par exemple, en Java, il s'agirait d'un moyen sûr et prédéfini d'envoyer un utilisateur vers un nouvel emplacement sans qu'il ait à effectuer une quelconque action, telle que cliquer sur un lien hypertexte.
response.sendRedirect("http://www.knownsafesite.com") ;
La vulnérabilité se produit si le site est programmé pour accepter la saisie de l'utilisateur pour la redirection, ou si le paramètre est laissé ouvert, peut-être pour obtenir l'information à partir d'une autre source. Par exemple, un développeur pourrait utiliser le paramètre "url'GET".
response.sendRedirect(request.getParameter("url")) ;
Bien que cela offre une plus grande flexibilité, cela crée également une vulnérabilité au niveau des redirections et des transferts non validés. Les pirates peuvent ajouter des informations après les barres obliques pour déclencher une redirection vers le site de leur choix, par exemple dans le cadre d'un courriel d'hameçonnage. Les utilisateurs voient le domaine de confiance dans la première partie du lien et ne réalisent pas que le site web peut les rediriger vers le site du pirate.
Pourquoi les redirections et les renvois non validés sont-ils si dangereux ?
Le danger posé par l'autorisation de redirections et de transferts non validés peut être important. Pour les utilisateurs, le plus grand danger est de devenir victimes d'attaques par hameçonnage. Parce qu'ils voient l'URL de premier niveau, ils sont plus susceptibles de croire un courriel ou une autre communication de phishing et de cliquer sur un lien. Et si la page vers laquelle ils sont redirigés ressemble à la vraie page, la tromperie peut être très efficace. Ils peuvent partager leur nom d'utilisateur, leur mot de passe ou d'autres informations d'identification sans jamais se douter qu'ils sont manipulés.
Éliminer la menace que représentent les redirections et les renvois non validés
Les redirections et les renvois non validés commencent à se développer pendant le développement d'une application. Ils peuvent être éliminés après coup, mais la façon la plus simple de les éliminer est tout simplement de ne pas autoriser les paramètres utilisateur ou les chaînes ouvertes dans le cadre d'une fonction de redirection ou de transfert. Au lieu de cela, définissez précisément les URL où les utilisateurs seront redirigés, en éliminant les variables et en privant les attaquants de toute marge de manœuvre. Mieux encore, envisagez de ne pas utiliser de redirections et de transferts du tout.
S'il n'y a absolument aucun moyen d'éviter les variables dans le cadre d'une redirection ou d'un processus de transfert, un processus de validation doit être mis en place pour s'assurer que la redirection se fait vers l'une des destinations valides. Enfin, utilisez des valeurs de mappage plutôt que des URL réelles. Les pirates essaieront plutôt d'utiliser des informations d'URL et ne seront probablement pas en mesure de deviner le schéma de mappage même s'ils soupçonnent qu'un tel schéma est utilisé.
Plus d'informations sur les redirections et les transferts non validés
Pour en savoir plus, vous pouvez consulter les pages de référence de l'OWASP sur les redirections et les transferts non validés. Vous pouvez également mettre à l'épreuve vos nouvelles connaissances en matière de défense grâce à la démo gratuite de la plateforme Secure Code Warrior , qui forme les équipes de cybersécurité pour qu'elles deviennent les meilleurs cyber-guerriers. Pour en savoir plus sur la manière de vaincre cette vulnérabilité et d'autres menaces, visitez le blogSecure Code Warrior .
Prenez soin des redirections et des transferts non validés une fois pour toutes. Appliquez vos nouvelles connaissances et testez vos compétences sur notre plateforme de formation ludique : [Commencez ici]
Table des matières
Jaap Karan Singh est un évangéliste du codage sécurisé, Chief Singh et cofondateur de Secure Code Warrior.

Secure Code Warrior est là pour vous aider à sécuriser le code tout au long du cycle de vie du développement logiciel et à créer une culture dans laquelle la cybersécurité est une priorité. Que vous soyez responsable AppSec, développeur, CISO ou toute autre personne impliquée dans la sécurité, nous pouvons aider votre organisation à réduire les risques associés à un code non sécurisé.
Réservez une démonstrationTéléchargerRessources pour vous aider à démarrer
Services professionnels - Accélérer grâce à l'expertise
L'équipe des services de stratégie de programme (PSS) de Secure Code Warriorvous aide à construire, améliorer et optimiser votre programme de codage sécurisé. Que vous partiez de zéro ou que vous affiniez votre approche, nos experts vous fournissent des conseils sur mesure.
Thèmes et contenu de la formation sur le code sécurisé
Notre contenu, à la pointe de l'industrie, évolue constamment pour s'adapter au paysage du développement logiciel en constante évolution, tout en gardant votre rôle à l'esprit. Les sujets abordés vont de l'IA à l'injection XQuery, et sont proposés pour une variété de rôles, des architectes et ingénieurs aux gestionnaires de produits et à l'assurance qualité. Découvrez en avant-première ce que notre catalogue de contenu a à offrir par sujet et par rôle.
Quêtes : Apprentissage de pointe pour permettre aux développeurs de garder une longueur d'avance et d'atténuer les risques.
Quests est une learning platform qui aide les développeurs à atténuer les risques liés à la sécurité des logiciels en améliorant leurs compétences en matière de codage sécurisé. Grâce à des parcours d'apprentissage, des défis pratiques et des activités interactives, elle permet aux développeurs d'identifier et de prévenir les vulnérabilités.
Ressources pour vous aider à démarrer
La décennie des défenseurs : Secure Code Warrior Dixième anniversaire
Secure Code WarriorL'équipe fondatrice de SCW est restée soudée, dirigeant le navire à travers chaque leçon, chaque triomphe et chaque revers pendant une décennie entière. Nous nous développons et sommes prêts à affronter notre prochain chapitre, SCW 2.0, en tant que leaders de la gestion des risques pour les développeurs.
10 prédictions clés : Secure Code Warrior sur l'influence de l'IA et de la conception sécurisée en 2025
Les organisations sont confrontées à des décisions difficiles sur l'utilisation de l'IA pour soutenir la productivité à long terme, la durabilité et le retour sur investissement de la sécurité. Au cours des dernières années, il nous est apparu clairement que l'IA ne remplacera jamais complètement le rôle du développeur. Des partenariats IA + développeurs aux pressions croissantes (et à la confusion) autour des attentes en matière de conception sécurisée, examinons de plus près ce à quoi nous pouvons nous attendre au cours de l'année prochaine.