nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier le comportement de révocation des jetons

AdminUser

Discussion de test prédéfinie. Comment vérifier le comportement de révocation des jetons dans le cadre d’une mission autorisée ?

Scénario : révoquez un jeton API de test et vérifiez que les appels ultérieurs sans risque échouent dans le délai prévu. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/80-reviewing-token-revocation-behavior

Réponses

AdminUser

Méthode de test : Révoquez un jeton API de test et vérifiez que les appels bénins suivants échouent dans le délai prévu. Respectez le périmètre écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez l’identifiant du jeton, l’heure de révocation, le statut de la réponse et le comportement du cache sans enregistrer le jeton. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corrigez et testez à nouveau : appliquez la révocation à tous les services et utilisez des durées de validité courtes pour les jetons. Répétez le contrôle initial après le déploiement et consignez le résultat.