Bilan

Checklist de sécurisation (TP « API & sécurité », Node.js / Express)

1. En-têtes : Helmet, CORS configuré par origines.
2. Authentification JWT : middleware, token vérifié dans Authorization.
3. Validation des entrées, messages d'erreur détaillés pour les données invalides.
4. Rate limiting.
5. HTTPS avec certificat (auto-signé en local).
6. Gestion des erreurs sans fuite d'informations sensibles.
7. Audit et mise à jour des paquets.

Pièges classiques

Valider seulement côté interface, mettre * avec credentials, afficher la trace de pile en cas d'erreur, croire que HTTPS suffit sans contrôle d'accès.