Audit de sécurité — Plateforme e-commerce SaaS (Nuxt/Stripe/Supabase)

Bonjour,

Je suis développeur web et j’ai développé une plateforme SaaS permettant à des utilisateurs de créer leur propre site e-commerce, avec un fonctionnement similaire à Shopify.

L’objectif est maintenant de faire réaliser un audit de sécurité sérieux de la plateforme afin d’identifier d’éventuelles vulnérabilités avant sa mise en production / son lancement.

Stack technique

* Nuxt.js
* Nuxt UI
* Supabase
* Stripe
* API / backend Nuxt

J’ai déjà mis en place différentes mesures de sécurité et réalisé plusieurs vérifications/audits avec l’aide de ChatGPT et Claude.

Ce que je recherche

Je cherche idéalement quelqu’un capable de :
* réaliser un audit de sécurité de l’application ;
* identifier les vulnérabilités potentielles ;
* vérifier l’authentification et la gestion des sessions ;
* vérifier les permissions et contrôles d’accès entre utilisateurs ;
* auditer les API et endpoints ;
* vérifier les règles RLS de Supabase ;
* vérifier les risques liés à PostgreSQL/Supabase ;
* vérifier l’intégration Stripe et les webhooks ;
* rechercher les risques d’IDOR / accès aux données d’un autre utilisateur ;
* vérifier les injections, XSS, CSRF, SSRF, etc. ;
* vérifier la gestion des données sensibles ;
* vérifier qu’aucune clé/secrète sensible n’est exposée côté client ;
* vérifier la gestion des fichiers/uploads si nécessaire ;
* vérifier les risques liés au multi-tenant ;
* vérifier les éventuelles failles permettant à un utilisateur de modifier ou consulter les données d’un autre utilisateur ;
* plus généralement, effectuer une vérification basée notamment sur l’OWASP Top 10 ;
* Vérifier qu’un client ne peut pas modifier un prix ou un paiement ou une commande.

La plateforme étant un système multi-utilisateurs permettant à chaque client de créer sa propre boutique, la séparation des données entre les différents utilisateurs/shops est un point particulièrement important.

Je suis également intéressé par de l’accompagnement

Je ne cherche pas forcément uniquement quelqu’un qui fasse l’audit à ma place.

Je serais également intéressé par un expert qui puisse m’expliquer les points à vérifier et, si possible, me montrer comment effectuer moi-même certains tests de sécurité, afin que je puisse améliorer mes compétences et mettre en place une méthodologie d’audit réutilisable sur le projet.

L’idéal serait donc :

1. Faire un état des lieux de la sécurité actuelle.
2. Identifier les points faibles ou les zones à risque.
3. M’expliquer les vulnérabilités trouvées.
4. Me donner les recommandations/corrections.
5. Éventuellement me montrer comment reproduire certains tests moi-même.
6. Me fournir un rapport récapitulatif avec la gravité des éventuelles vulnérabilités.

Merci d’indiquer dans votre réponse :

* votre expérience en cybersécurité applicative ;
* les types d’audits que vous réalisez ;
* si vous avez déjà audité des applications SaaS/multi-tenant ;
* votre méthodologie ;
* ce que vous pourriez vérifier sur cette stack ;
* et une estimation du budget/délai pour un premier audit.