Sécurisation de DiaLog

[florimondmanca]

Suite à l'atelier design systémique du 14/12, diverses problématiques liées à la sécurisation de DiaLog ont été soulevées

Critères d'acceptation

• [x] Tous les formulaires sont protégés contre le CSRF
• [x] L'outil est protégé contre une attaque DDOS (restriction IP)
• [x] L'outil est protégé contre une attaque mot de passe par force brute ou par dictionnaire
• [x] L'outil est enregistré sur https://www.monservicesecurise.beta.gouv.fr
• [ ] Les mesures "indispensables" signalées par https://www.monservicesecurise.beta.gouv.fr ont été implémentées
• [ ] Il n'y a plus de notes "À faire" dans la checklist DiaLog sur https://www.monservicesecurise.beta.gouv.fr
• [ ] L'outil a été homologué par l'ANSSI via https://www.monservicesecurise.beta.gouv.fr
• [ ] Les risques ont été renseignés sur https://www.monservicesecurise.beta.gouv.fr
• [ ] Les contacts utiles ont été renseignés sur https://www.monservicesecurise.beta.gouv.fr

Contexte supplémentaire

Rappel des solutions envisagées pour l'externalité "Cybersécurité : « hacker » les parcours recommandés et attaques" :

• Conduire un audit externe
• Se protéger contre les attaques DDOS et brut force (restriction par IP)
• Se protéger contre CSRF
• Imposer des critères aux contributeurs et partenaires (rédiger des CGU)
• Tracer les contributions
• Faire de la double-validation
• Valider à la main au début ?
• Prévenir le partage de compte entre utilisateurs, permettre des comptes « consultation » uniquement
• Anticiper les départs de la plateforme : retirer les accès..

[mmarchois]

Quel était l'objet de cette issue ?

[florimondmanca]

Faut vraiment que j'arrête de créer des tickets en me disant "je remplirai plus tard" :smile:

J'ai ajouté une description

[florimondmanca]

Je viens de faire un premier remplissage de monservicesécurisé avec l'état actuel des mesures de sécurité