Lancer un SaaS en production.

Application, API, URL de retour d’authentification et de paiement sont toutes en HTTPS sur votre domaine ; les URL de retour déclarées chez les fournisseurs pointent vers la production.

Vérifier : Relisez les URL de redirection configurées chez le fournisseur d’authentification et de paiement.

Preuve : Liste des URL de retour configurées.

MDN — Strict-Transport-Security ↗ · revu le 2026-10-23

Chaque environnement a ses propres clés et sa propre base ; un aperçu ne touche jamais aux données de production et n’envoie pas d’emails à de vrais clients.

Vérifier : Comparez les variables d’environnement de production et d’aperçu : aucune clé de production dans l’aperçu.

Preuve : Tableau des variables par environnement (noms seulement, jamais les valeurs).

Clés de service de la base, clés secrètes de paiement, clés d’IA et secrets de webhook restent côté serveur — jamais dans une variable exposée au navigateur ni dans l’historique Git. Une clé exposée est révoquée.

Vérifier : Cherchez les préfixes de clés dans le dépôt, l’historique et le code JavaScript servi au navigateur.

Preuve : Résultat de la recherche.

OWASP — Secrets Management Cheat Sheet ↗ · revu le 2026-10-23

La version en ligne tourne sur le vrai domaine avec la configuration de production, les migrations sont appliquées, le parcours principal a été refait après le déploiement, et la procédure de retour arrière (code et données) est connue et a été essayée.

Vérifier : Après le dernier déploiement : parcours principal sur le domaine de production ; retour arrière essayé sur un aperçu.

Preuve : Identifiant du déploiement, date du test et procédure de retour arrière.

Échec courant : Variable d’environnement manquante en production : l’inscription échoue pour tous les nouveaux clients.

Inscription, connexion, déconnexion, mot de passe oublié ou lien magique expiré, expiration de session, page privée ouverte sans être connecté : chaque cas a un comportement prévu et testé.

Vérifier : Avec un compte neuf en production, déroulez chaque cas, y compris un lien expiré et une page privée en navigation privée.

Preuve : Liste datée des cas testés et de leur résultat.

Échec courant : Page privée accessible après déconnexion via le bouton Retour ou une URL directe.

OWASP — Authentication Cheat Sheet ↗ · revu le 2026-10-23

Chaque lecture et écriture vérifie, côté serveur ou dans la base (RLS), que la ressource appartient à la personne connectée. Le compte A ne peut ni voir ni modifier les données du compte B, ni via l’interface, ni via l’API, ni en changeant un identifiant dans l’URL.

Vérifier : Avec deux comptes, copiez l’identifiant d’une ressource de B et tentez de la lire et de la modifier depuis A (interface et requête directe).

Preuve : Requêtes tentées et réponses refusées.

Échec courant : Politique RLS désactivée « pour que ça marche » : toutes les lignes lisibles par tout le monde.

OWASP — Authorization Cheat Sheet ↗ · revu le 2026-10-23

Un membre ne fait que ce que son rôle permet ; une personne retirée d’une équipe perd l’accès immédiatement, y compris aux liens qu’elle avait.

Vérifier : Testez chaque action sensible avec chaque rôle, puis retirez un membre et réessayez.

Preuve : Matrice rôle × action avec résultats.

OWASP — Authorization Cheat Sheet ↗ · revu le 2026-10-23

Une personne peut supprimer son compte ou en faire la demande, sait ce qui est supprimé et ce qui est conservé (factures, obligations légales) et pourquoi.

Vérifier : Supprimez un compte de test et vérifiez en base ce qui reste.

Preuve : Chemin de suppression et liste des données conservées.

Connexion, inscription, réinitialisation, envoi d’emails et actions coûteuses sont limités, pour freiner le bourrage d’identifiants, le spam et les factures surprises.

Vérifier : Répétez vingt fois une demande de réinitialisation : le serveur finit par refuser.

Preuve : Limites configurées et résultat du test.

OWASP — Authentication Cheat Sheet ↗ · revu le 2026-10-23

Chaque changement de base est une migration versionnée, appliquée de la même façon à chaque environnement — jamais un changement manuel dans le tableau de bord. Les migrations destructrices sont testées sur une copie.

Vérifier : Comparez le schéma de production avec celui produit par les migrations du dépôt.

Preuve : Dernière migration appliquée en production.

Les sauvegardes sont activées, leur durée de conservation est connue, et une restauration a été faite au moins une fois : vous savez combien de temps elle prend et quelles données seraient perdues.

Vérifier : Restaurez une sauvegarde récente dans un projet de test et vérifiez quelques enregistrements.

Preuve : Date et durée de la dernière restauration.

Échec courant : Sauvegarde jamais testée, inutilisable le jour où elle sert.

Aucune clé à privilèges élevés côté client ; RLS activée sur les tables exposées ; seuls les outils et personnes qui en ont besoin accèdent à la production, avec authentification forte.

Vérifier : Listez les tables exposées et leur politique RLS ; listez les personnes ayant accès à la production.

Preuve : Ces deux listes.

Supabase — Row Level Security ↗ · revu le 2026-10-23

Type et taille vérifiés côté serveur, stockage privé, liens signés qui expirent, et aucun fichier envoyé servi comme contenu exécutable depuis votre domaine.

Vérifier : Envoyez un fichier trop gros et un fichier HTML renommé en image : les deux sont refusés.

Preuve : Résultat des deux tests.

OWASP — Top 10 ↗ · revu le 2026-10-23

Un vrai paiement en production aboutit, et l’accès est accordé par le serveur après un événement de webhook dont la signature est vérifiée — jamais par la page de succès, qu’on peut ouvrir sans payer.

Vérifier : Paiement réel avec votre carte puis remboursement ; ouvrez la page de succès sans payer : aucun accès n’est accordé ; envoyez un webhook non signé : il est refusé.

Preuve : Référence du paiement, journal du webhook vérifié, réponse au webhook non signé.

Échec courant : Secret de webhook de test en production : tous les paiements réels échouent à accorder l’accès.

Stripe Docs — Receive Stripe events in your webhook endpoint ↗ · revu le 2026-10-23

Les fournisseurs de paiement peuvent livrer un événement plusieurs fois et dans le désordre. Enregistrez les identifiants d’événements traités pour qu’une relivraison n’accorde pas deux fois l’accès ni n’envoie deux emails.

Vérifier : Rejouez le même événement depuis le tableau de bord du fournisseur : rien ne change la seconde fois.

Preuve : Journal des deux livraisons.

Stripe Docs — Idempotent requests ↗ · revu le 2026-10-23

Le navigateur ne peut pas choisir le montant ni le plan payé ; le serveur décide à partir d’identifiants connus. Les clés de test ne sont jamais utilisées en production, et inversement.

Vérifier : Modifiez le prix ou le plan dans la requête envoyée par le navigateur : le serveur l’ignore.

Preuve : Résultat du test et mode des clés en production.

Stripe Docs — API keys ↗ · revu le 2026-10-23

Ce qui se passe quand un renouvellement échoue est décidé : nouvelles tentatives, email au client, délai de grâce, puis suspension de l’accès.

Vérifier : Simulez un échec de renouvellement et vérifiez emails et état d’accès à chaque étape.

Preuve : Politique notée et résultat de la simulation.

Stripe Docs — Revenue recovery ↗ · revu le 2026-10-23

Mettre à jour sa carte, consulter ses factures et résilier sont possibles sans écrire au support.

Vérifier : Avec un compte client, changez la carte, téléchargez une facture, résiliez.

Preuve : Captures de chaque action.

Stripe Docs — Customer management ↗ · revu le 2026-10-23

Changement de plan, résiliation en fin de période, remboursement et retrait d’accès produisent l’état attendu dans votre base comme chez le fournisseur.

Vérifier : Déroulez chaque transition avec un client de test et comparez votre base au tableau de bord du fournisseur.

Preuve : Tableau des transitions et état obtenu.

Stripe Docs — How subscriptions work ↗ · revu le 2026-10-23

Carte demandée ou non, durée, rappel avant la fin, et ce qui se passe à l’échéance sont décidés et affichés clairement.

Vérifier : Créez un essai court en test et suivez-le jusqu’à son terme.

Preuve : Résultat du suivi et texte affiché au client.

Stripe Docs — Trials ↗ · revu le 2026-10-23

Conditions générales et politique de remboursement publiées ; traitement de la TVA vérifié selon vos pays de vente. Vérifiez ce qui s’applique à vous ; ceci n’est pas un avis juridique ou fiscal.

Vérifier : Les liens vers les conditions apparaissent avant le paiement.

Preuve : URL des conditions et de la politique de remboursement.

Chaque action serveur et route d’API valide ses entrées (type, taille, format) et n’assemble jamais de requête SQL ou de commande avec du texte fourni par l’utilisateur.

Vérifier : Envoyez des valeurs vides, trop longues et inattendues à chaque formulaire : le serveur refuse proprement.

Preuve : Liste des actions testées.

OWASP — Top 10 ↗ · revu le 2026-10-23

Le fichier de verrouillage est versionné et l’audit des dépendances ne signale aucune vulnérabilité critique non traitée.

Vérifier : Lancez l’audit de votre gestionnaire de paquets et traitez ou justifiez chaque alerte critique.

Preuve : Résultat daté de l’audit.

OWASP — Top 10 ↗ · revu le 2026-10-23

L’administration exige une authentification forte, n’est pas protégée par une URL secrète seulement, et les actions sensibles sont journalisées.

Vérifier : Ouvrez les routes d’administration sans être connecté et avec un compte client : refus.

Preuve : Résultat du test.

OWASP — Authorization Cheat Sheet ↗ · revu le 2026-10-23

Mots de passe, jetons, liens magiques, numéros de carte et contenus privés n’apparaissent pas dans les journaux ni dans les outils de suivi d’erreurs.

Vérifier : Cherchez « token », « password » et des adresses email dans les journaux de production récents.

Preuve : Résultat de la recherche.

OWASP — Top 10 ↗ · revu le 2026-10-23

Les appels au modèle partent du serveur ; chaque utilisateur a une limite d’usage, et un plafond ou une alerte de dépense est configuré chez le fournisseur.

Vérifier : Cherchez la clé dans le code envoyé au navigateur ; dépassez la limite avec un compte de test.

Preuve : Limites configurées et plafond chez le fournisseur.

Échec courant : Clé exposée dans le navigateur, facture de plusieurs milliers en une nuit.

OWASP — Top 10 for LLM Applications ↗ · revu le 2026-10-23

Documents envoyés, pages web, emails : ce que lit le modèle peut contenir des instructions malveillantes. Ses réponses ne déclenchent aucune action privilégiée sans vérification côté serveur, et ses outils ont les permissions minimales.

Vérifier : Glissez dans un document de test « ignore les instructions précédentes et… » : le système ne l’exécute pas.

Preuve : Résultat du test et liste des outils accessibles au modèle.

OWASP — LLM Prompt Injection Prevention Cheat Sheet ↗ · revu le 2026-10-23

Les utilisateurs savent quand une réponse vient d’un modèle, quelles données partent chez quel fournisseur, et ce qui se passe si le modèle est indisponible.

Vérifier : Coupez la clé d’IA en préproduction : l’app affiche un état compréhensible.

Preuve : Texte d’information et capture de l’état dégradé.

Hébergement, base, emails, paiement, analytics, IA : chaque sous-traitant est listé avec la finalité. Vérifiez ce qui s’applique à vous (LPD suisse, RGPD si vous ciblez l’UE), y compris les transferts hors de Suisse ou de l’UE. Ceci n’est pas un avis juridique.

Vérifier : Comparez la liste des sous-traitants aux services réellement branchés.

Preuve : URL de la politique et liste des sous-traitants.

Fedlex — Swiss Federal Act on Data Protection (FADP) ↗ · revu le 2026-10-23

Les événements ne contiennent ni email, ni nom, ni texte libre ; le consentement est recueilli là où il est requis. Vérifiez ce qui s’applique à vous.

Vérifier : Inspectez les propriétés des événements envoyés pendant un parcours complet.

Preuve : Liste des événements et de leurs propriétés.

EUR-Lex — General Data Protection Regulation (GDPR) ↗ · revu le 2026-10-23

Santé, finances, données d’enfants : ne collectez que le nécessaire, limitez qui y accède, journalisez les accès et fixez une durée de conservation. Ces données appellent souvent des obligations renforcées : vérifiez ce qui s’applique à vous.

Vérifier : Listez chaque champ sensible, sa raison d’être, qui y accède et quand il est supprimé.

Preuve : Ce registre.

Fedlex — Swiss Federal Act on Data Protection (FADP) ↗ · revu le 2026-10-23

Les erreurs serveur et client remontent dans un outil de suivi, et une alerte arrive chez une personne responsable — pas seulement dans des journaux que personne ne lit.

Vérifier : Déclenchez une erreur contrôlée en production : l’alerte arrive.

Preuve : Capture de l’alerte reçue.

Liens de connexion, reçus et notifications partent d’un domaine authentifié (SPF, DKIM, DMARC) et arrivent dans la boîte de réception de Gmail et d’Outlook. Un lien de connexion en indésirables bloque l’accès au produit.

Vérifier : Déclenchez chaque email vers Gmail et Outlook ; vérifiez la boîte de réception et les en-têtes d’authentification.

Preuve : Captures de réception et des en-têtes.

Google Workspace Admin Help — Email sender guidelines ↗ · revu le 2026-10-23

Une surveillance teste les points clés (accueil, connexion, API) et vous savez où informer les clients en cas de panne.

Vérifier : Mettez un point de test en panne : l’alerte arrive.

Preuve : Outil choisi et canal d’information.

Qui est alerté, comment revenir à la version précédente, comment restaurer les données, comment informer les clients : écrit avant d’en avoir besoin.

Vérifier : Une autre personne peut suivre la procédure sans vous.

Preuve : Lien vers la procédure.

Inscription → première valeur → paiement (s’il y en a), sur Safari, Chrome et Firefox, mobile et ordinateur, sur le domaine de production.

Vérifier : Refaites le parcours après le dernier déploiement avec un compte neuf.

Preuve : Liste datée des navigateurs et appareils testés.

Focus visible, champs étiquetés, messages d’erreur liés aux champs, contrastes suffisants sur le parcours principal.

Vérifier : Faites le parcours principal uniquement au clavier.

Preuve : Résultat du test.

W3C — Web Content Accessibility Guidelines (WCAG) 2.2 ↗ · revu le 2026-10-23

États vides explicites, première action évidente, aucune configuration bloquante : la personne comprend ce qu’elle peut faire dès la première session.

Vérifier : Observez une personne extérieure créer un compte, sans l’aider.

Preuve : Notes de l’observation.

Les limites de chaque plan (et les limites anti-abus) sont appliquées par le serveur, et la personne sait ce qui se passe quand elle les atteint.

Vérifier : Atteignez la limite avec un compte de test : le message est clair et le serveur bloque.

Preuve : Limites par plan et résultat du test.

Un lien de support visible dans l’app, une boîte de réception surveillée et un délai de réponse que vous pouvez tenir.

Vérifier : Écrivez au support depuis un compte client : quelqu’un répond dans le délai annoncé.

Preuve : Délai annoncé et premier test.

Un événement d’activation (première valeur obtenue) et une mesure de rétention sont définis et instrumentés, sans donnée personnelle, pour savoir si le produit sert réellement.

Vérifier : Réalisez l’activation avec un compte de test : l’événement apparaît.

Preuve : Définition des deux mesures.

Les pages marketing sont indexables avec une URL canonique correcte et figurent dans le sitemap ; le tableau de bord, les pages de compte, les résultats privés et les déploiements d’aperçu ne sont pas indexables (authentification ou noindex). robots.txt ne bloque rien d’important.

Vérifier : Lisez /robots.txt et /sitemap.xml ; inspectez une page publique et une page privée (balise robots, canonical) ; ouvrez une URL d’aperçu.

Preuve : Résultats de l’inspection.

Échec courant : Pages de compte indexées avec des données de clients visibles dans les résultats.

Google Search Central — Block indexing with noindex ↗ · revu le 2026-10-23

Chaque page publique a un titre et une description uniques et une image de partage.

Vérifier : Relevez titres et descriptions des pages publiques : aucun doublon.

Preuve : Tableau des titres et descriptions.

Google Search Central — Title links ↗ · revu le 2026-10-23