Quatre patterns suffisent pour commencer : créer sans nommer la classe, isoler le magasin de données, masquer une séquence, encapsuler une action.
Les six étapes du processus d'architecture, et la marche la plus haute : chiffrer les exigences non-fonctionnelles avant de dessiner quoi que ce soit.
Six formes d'application (web, API, mobile, console, service, desktop), ce qui les distingue vraiment, et pourquoi un système réel en combine plusieurs.
57 contrôles passés au crible du code : ce qui tourne, ce qui alerte sans bloquer, et ce qui n'existe que dans une interface web.
Trois décisions déterminent si un système encaisse la charge : ne pas souder les services entre eux, ne rien garder en mémoire, cacher au bon endroit.
Avant l'exploitation, il y a le repérage. Méthodologie d'un test d'intrusion, cadre légal, OSINT passif et scan nmap actif.
L'AppSec en clair : l'OWASP Top 10 comme carte des risques, puis SAST, DAST et SCA et leur place dans le pipeline pour corriger au plus tôt.
Le cloud déplace la sécurité, il ne la supprime pas. IaaS, PaaS, SaaS et le modèle de responsabilité partagée, expliqués sans jargon.
Cycle de vie des identités, RBAC contre ABAC, comptes à privilèges et PAM (vaulting, accès juste-à-temps), avec le cas Colonial Pipeline 2021.
Pourquoi le maillon le plus faible est souvent humain (layer 8), comment fonctionnent phishing et BEC, et ce que SPF, DKIM et DMARC authentifient vraiment.
Norme volontaire ou obligation légale ? Distinguer ISO 27001, SOC 2, RGPD et NIS2, et comprendre certification, attestation, audit et preuve.
Qui décide et qui rend des comptes en sécurité ? Rôles (CISO, DPO), comités, gestion du risque et frameworks NIST CSF, COBIT, ITIL.