OWASP WrongSecrets

Bienvenue dans le jeu OWASP WrongSecrets ! Le jeu regorge d'exemples concrets de la façon de ne pas stocker de secrets dans votre logiciel. Chacun de ces exemples est présenté sous forme de défi, que vous devez résoudre à l'aide de divers outils et techniques. Résoudre ces défis vous aidera à reconnaître les erreurs courantes et pourra vous aider à réfléchir à votre propre stratégie de gestion des secrets.

Pouvez-vous résoudre tous les défis ?

Essayez-en quelques-uns sur notre environnement de démonstration Heroku.

Vous voulez jouer aux autres défis ? Lisez les instructions pour les configurer ci-dessous.

🚀 Démarrage rapide

Nouveau sur WrongSecrets ? Commencez ici :

1. Essayez d'abord en ligne : visitez notre démo Heroku pour vous familiariser avec les défis
2. Exécutez localement : utilisez Docker pour l'expérience complète avec tous les défis :

   docker run -p 8080:8080 -p 8090:8090 jeroenwillemsen/wrongsecrets:latest-no-vault
   

   Puis ouvrez http://localhost:8080
3. Vous voulez voir ce qui arrive ? Essayez notre conteneur master de pointe avec les dernières fonctionnalités :

   docker run -p 8080:8080 -p 8090:8090 ghcr.io/owasp/wrongsecrets/wrongsecrets-master:latest-master
   

   ⚠️ Remarque : il s'agit d'une version de développement qui peut être instable
4. Configuration avancée : pour les défis cloud et les exercices Kubernetes, consultez les instructions détaillées ci-dessous

Ce que vous allez apprendre :

• Les erreurs courantes de gestion des secrets
• Comment identifier des identifiants exposés
• Les bonnes pratiques pour sécuriser les secrets
• Les outils et techniques de détection de secrets

Comment cela fonctionne : Ce dépôt contient du code et des fichiers de configuration intentionnellement vulnérables avec de vrais et de faux secrets dissimulés dans l'ensemble du code source. Vous examinerez le code source, les fichiers de configuration, les conteneurs Docker et les déploiements cloud pour découvrir ces secrets. Chaque défi vous enseigne les différentes manières dont les secrets peuvent être accidentellement exposés dans des applications réelles.

📋 Prérequis