nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier les directives de mise en cache des pages privées

AdminUser

Discussion de test préétablie. Comment vérifieriez-vous les directives de mise en cache des pages privées dans le cadre d’une mission autorisée ?

Scénario : examinez les en-têtes des réponses relatives au compte, à la facturation et au contenu privé en utilisant une identité de test. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/38-reviewing-cache-controls-for-private-pages

Réponses

AdminUser

Approche de test : Vérifiez les en-têtes des réponses liées au compte, à la facturation et au contenu privé en utilisant une identité de test. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuve : Consignez les en-têtes cache-control et vary, ainsi que le résultat d’un rechargement sans risque. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Empêcher les caches partagés de stocker des réponses privées et faire varier le cache selon l’identité lorsque nécessaire. Répéter le contrôle initial après le déploiement et consigner le résultat.