Un secret en cybersécurité désigne toute information confidentielle utilisée pour authentifier, autoriser ou sécuriser l’accès à des systèmes, données ou services. Sa compromission entraîne un risque direct pour la sécurité, pouvant causer des accès non autorisés, des fuites de données ou des perturbations opérationnelles.
Exemples courants
- 🔑 Mots de passe et phrase secrète (phrases de passe, passphrases en anglais)
- 🔐 Clés cryptographiques (privées ou symétriques)
- 🪪 Jetons d’accès (API tokens, OAuth tokens)
- 📇 Certificats numériques et clés SSH
- 🔏 Clés de chiffrement de bases de données
Caractéristiques
- Confidentialité : Ne doit jamais être exposé en clair.
- Intégrité : Doit être protégé contre toute modification non autorisée.
- Traçabilité : L’accès doit être journalisé et contrôlé.
- Cycle de vie : Rotation régulière et révocation si compromis.
Bonnes pratiques
- ✅ Utiliser des coffres-forts de secrets (Hashicorp Vault, AWS Secrets Manager, Azure Key Vault).
- ✅ Jamais de stockage en clair dans le code, les fichiers de configuration ou les emails.
- ✅ Appliquer le principe du moindre privilège pour l’accès.
- ✅ Mettre en œuvre une rotation automatique (ex. tous les 90 jours)
Risques associés
- � Fuite par erreur humaine (commit accidentel dans un dépôt public)
- ⚠️ Attaques par brute-force ou ingénierie sociale
- ⛔ Utilisation de secrets par défaut ou faibles
Normes de référence
- NIST SP 800-63B (Gestion des authentifiants)
- ISO/IEC 27001 (Contrôle A.9.4.1 sur la gestion des accès)
