nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérification de la gestion des secrets des webhooks

AdminUser

Discussion de test préremplie. Comment vérifieriez-vous la gestion des secrets des webhooks dans le cadre d’une mission autorisée ?

Scénario : créez un webhook de test vers un récepteur approuvé, puis examinez la vérification de la signature et l’exposition du secret dans les réponses de l’API. Quelles mesures de protection prendriez-vous, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/48-checking-webhook-secret-handling

Réponses

AdminUser

Approche de test : Créez un webhook de test vers un destinataire approuvé, puis vérifiez la validation de la signature et l’exposition du secret dans les réponses de l’API. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Éléments de preuve : consignez l’identifiant de l’événement, le résultat de la validation de la signature et les champs de configuration expurgés. Expurgez les identifiants de connexion, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : signer les livraisons, renouveler les secrets et masquer leurs valeurs après leur création. Répéter la vérification initiale après le déploiement et consigner le résultat.