Formation Sécurité Applicative JavaScript : Protéger vos Applications Web des Vulnérabilités

Introduction à la Sécurité Web et JavaScript

• —Principes fondamentaux de la sécurité des applications web
• —Spécificités de la sécurité JavaScript et impact sur les navigateurs
• —Cadre légal et normatif (RGPD, OWASP, ISO 27001)
• —Analyse des cyberattaques majeures récentes sur applications JS
• —Méthodologies de test de sécurité (boîte noire, boîte blanche, grise)

Le Top 10 OWASP pour les applications JavaScript

• —Présentation détaillée de l'OWASP Top 10 (2021)
• —Vulnérabilités courantes impactant les applications JS (A01:2021 à A05:2021)
• —Causes et conséquences des failles de sécurité classiques
• —Exemples concrets d'exploitation de chaque vulnérabilité
• —Stratégies de mitigation générale et préventive

Injection : XSS (Cross-Site Scripting)

• —Types de XSS (stocké, réfléchi, basé sur DOM) et leurs vecteurs
• —Fonctionnement et impact des attaques XSS sur les utilisateurs
• —Techniques de contournement et obfuscation JavaScript
• —Prévention et mitigation des XSS (encodage, CSP, sanitization)
• —Mise en œuvre de politiques de sécurité de contenu (CSP) efficaces

Injection : Injection NoSQL et Attaques de Prototypes JS

• —Fonctionnement des injections NoSQL dans les bases de données (MongoDB, CouchDB)
• —Vulnérabilités liées aux injections de requêtes NoSQL sous différentes API JS
• —Attaques par pollution de prototype en JavaScript
• —Protection contre l'injection NoSQL (validation, ORM sécurisé)
• —Défenses contre la pollution de prototype et objets gelés

Authentification et Autorisation Sécurisées

• —Vulnérabilités d'authentification (brute-force, Session Hijacking, JWT)
• —Gestion sécurisée des sessions (cookies HTTP-Only, Secure, SameSite)
• —Implémentation d'un contrôle d'accès basé sur les rôles (RBAC) ou attributs (ABAC)
• —Sécurisation des tokens d'authentification (JWT, OAuth 2.0, OpenID Connect)
• —Mise en œuvre de l'authentification multi-facteurs (MFA)

Gestion Sécurisée des Données Sensibles

• —Identification et classification des données sensibles
• —Bonnes pratiques de stockage sécurisé (chiffrement, hachage)
• —Protection des données en transit (HTTPS, TLS 1.2+)
• —Gestion et rotation sécurisée des clés de chiffrement
• —Mesures de prévention contre la divulgation de données (logging, erreurs)

Securing REST APIs et APIs GraphQL

• —Vulnérabilités spécifiques aux API (Broken Object Level Authorization, Mass Assignment)
• —Authentification et autorisation pour les API REST/GraphQL
• —Protection contre les attaques DoS et d'énumération par API
• —Validation des entrées et retours pour les requêtes API
• —Documentation des API sécurisées (OpenAPI Specification)

Meilleures Pratiques de Codage JavaScript Sécurisé

• —Principes de sécurité dès la conception (Security by Design)
• —Validation des entrées côté client et côté serveur
• —Éviter l'exécution de code non fiable (eval(), fonctions dynamiques)
• —Utilisation sécurisée des bibliothèques et frameworks JS (npm audit, Snyk)
• —Règles de codage sécurisé et refactoring pour la sécurité

Défenses côté client : CSP, SRI, X-Content-Type-Options

• —Politiques de Sécurité de Contenu (CSP) en détail (directives, reporting)
• —Intégrité des Sous-Ressources (SRI) pour les scripts externes
• —En-têtes de sécurité HTTP (X-Content-Type-Options, X-Frame-Options, HSTS)
• —Protection contre le clickjacking et l'iFrame injection
• —Audit et déploiement de défenses côté client

Sécurisation de l'Écosystème JavaScript (Node.js, npm)

• —Sécurisation des applications Node.js côté serveur
• —Gestion sécurisée des dépendances npm (audit, vulnérabilités connues)
• —Authentification et autorisation dans Node.js
• —Protection contre les attaques DoS et la gestion des processus
• —Bonnes pratiques de déploiement et de configuration des serveurs JS

Tests de Sécurité et Automatisation (SAST, DAST, SCA)

• —Méthodes de test de sécurité (pentest, vuln scan, code review)
• —Outils d'analyse statique de code (SAST) pour JavaScript
• —Outils d'analyse dynamique de code (DAST) pour applications web JS
• —Analyse de la composition logicielle (SCA) pour les dépendances
• —Intégration de la sécurité dans le pipeline CI/CD (DevSecOps)

Réponse aux Incidents et Veille Stratégique

• —Planification et mise en œuvre d'un processus de réponse aux incidents
• —Journalisation et surveillance des événements de sécurité dans les applications JS
• —Analyse forensique de base des attaques JavaScript
• —Veille technologique et mise à jour des connaissances en cybersécurité JS
• —Exercices pratiques de réponse à incident (simulation)
• —## Compétences

OPCO

Formations financées via votre opérateur de compétences

FAF

Aide à la formation pour les indépendants

France Travail

Des aides pour les demandeurs d'emploi

Employeur

Votre entreprise peut financer votre formation

FNE-Formation

Un soutien pour les entreprises en transformation

- Maîtrise des bases du développement web (HTML, CSS, JavaScript) - Connaissance des concepts fondamentaux du côté client (frontend) et côté serveur (backend) - Familiarité avec l'environnement Node.js est un plus

- Un ordinateur portable fonctionnel (PC ou Mac) - Une connexion Internet stable - Un environnement de développement (IDE comme VS Code) avec Node.js et npm installés - Un navigateur web récent (Chrome, Firefox)

5 tests d'évaluation sont proposés à l'apprenant en fin de formation pour connaître son niveau sur chaque compétences visées.

Plateforme et contenus e-learning à disposition. Test de positionnement Quizz & Evaluations

Nous vous recevons lors d’un rendez-vous d’information préalable gratuit et confidentiel en visioconférence pour analyser vos besoins et co-construire votre parcours personnalisé. Chaque demande s’accompagne de la remise d’une convention ou d’un contrat précisant l’ensemble des informations relatives à la formation (Tarifs, calendrier, durée, lieu…). Ce contrat/convention sera transmis électroniquement par email.

A partir de l’accord de prise en charge par le financeur sollicité, le bénéficiaire peut démarrer sous un délai de 11 jours ouvrés. Si vous financez votre parcours de formation par vos propres moyens, alors le délai d'accès est immédiat. Vous pouvez entrer en formation tout au long de l’année.

♿️ Nous accueillons les personnes en situation de handicap. Les conditions d’accessibilité aux personnes handicapées sont inscrites sur le site imi-education.fr, rubrique Accessibilité.

Saskia Cazettes Pour tout renseignement : 07 80 91 06 14 / saskia.c@imi-executive-solutions.com

23 mars 2026

La formation alterne apports théoriques, mises en situation pratiques et échanges entre participants. Chaque concept est directement appliqué via des exercices concrets et des cas réels.

Oui, chaque participant reçoit un support de cours complet (format numérique et/ou papier) qu'il peut conserver à l'issue de la formation.

Certaines de nos formations sont éligibles au Compte Personnel de Formation (CPF). Consultez la fiche formation ou contactez-nous pour vérifier l'éligibilité.

Plusieurs dispositifs de financement existent : CPF, OPCO, plan de développement des compétences, financement individuel. Notre équipe peut vous accompagner dans vos démarches.

Oui, notre équipe reste disponible pour toute question post-formation. Vous bénéficiez également d'un accès à nos ressources en ligne pendant 6 mois après votre parcours.

Nous allons aborder les vulnérabilités courantes telles que les injections SQL, les attaques XSS, les failles de sécurité des bibliothèques JavaScript, etc.

Nous allons utiliser des exemples concrets et des tutoriels pratiques pour vous montrer comment mettre en œuvre des défenses robustes dans vos applications web JavaScript.

Nous allons utiliser des outils tels que Webpack, Babel et des techniques telles que le code obfuscation, la protection des ressources, etc.

Notre organisme de formation s'engage à accueillir et accompagner les personnes en situation de handicap. Notre référente handicap, Mme Lorène Travaux est disponible pour étudier avec vous les adaptations pédagogiques, techniques ou logistiques nécessaires avant toute inscription. Contactez-nous à hello@imi-executive-solutions.com ou au 06 72 09 69 52.