Le 23 septembre 2026, Marble Minotaur a audité l’instance de démonstration de Granit Golem, une application de supervision construite avec Vue, avec un compte de test. 60 écrans ouverts en 16 min 58 s. Granit Golem est un autre de mes projets : je le dis parce qu’un exemple choisi par l’auteur doit l’être ouvertement. Rien n’a été retouché, ni l’application avant, ni le rapport après. Voici ce qu’une équipe reçoit, dans l’ordre où elle le lit.
Le vrai fichier, tel que l’équipe le reçoit (6,9 Mo). Version allégée : sans en-têtes HTTP, réponses ni captures.
« Est-ce qu’on peut livrer ? »
La synthèse ouvre sur une phrase : deux défaillances bloquantes, observées sur les 60 écrans audités. Juste en dessous, ce que ce verdict ne peut pas dire : ce passage s’est fait en lecture seule, donc aucune commande n’a été actionnée et aucun enchaînement rejoué.
Un verdict qui tait ses limites se lit comme une garantie. Celui-ci les écrit.
« Qu’est-ce qui peut vraiment nous arriver ? »
Deux défauts, pris séparément, ont l’air techniques. Ensemble, ils ouvrent une porte. Le rapport les relie en un risque nommé, dit où il a été vu, et explique en une phrase ce qu’il permettrait.
bloquant Détournement de session Sécurité · sur tous les écrans · 2 constats · 2 corrections
Observé : aucune règle ne limite les scripts autorisés à s’exécuter (
Content-Security-Policy), relevé sur/dashboardet les 29 autres écrans ; un témoin de session est lisible par les scripts de la page (HttpOnlyabsent).Ce que ces défauts rendent possible : un script injecté dans la page lit le témoin de session et le transmet à un tiers, qui se connecterait à la place de la personne.
« Par quoi on commence lundi ? »
73 constats se ramènent à 68 corrections : 2 maintenant, 33 ensuite, 33 une fois le reste réglé. Chacune dit combien d’écrans elle répare, ce qu’il faut faire, et comment vérifier que c’est fait.
urgent Aucune règle ne limite les scripts autorisés à s’exécuter 1 constat sur 30 écrans · Sécurité
Faire : déclarer une politique de base (
default-src 'self'; object-src 'none'; frame-ancestors 'none'), puis la durcir en autorisant les origines réellement nécessaires.Vérifier : relancer l’audit ; « Content-Security-Policy » ne doit plus remonter de constat.
« Qu’est-ce qui marche, au moins ? »
48 fonctions vues fonctionner, 6 critères satisfaits, 24 vérifications revenues sans rien à signaler sur 54 lancées. La plateforme reconnue en passant : Vue, Tailwind, une limitation de débit annoncée dans les en-têtes.
Et la nuance qui fait la différence : une vérification qui n’a pas tourné ne dit pas qu’il n’y a rien. Les 8 vérifications non lancées sont comptées à part, jamais parmi les réussites.
« Que fait vraiment notre application ? »
22 objets manipulés à travers 50 fonctions : lister, consulter, créer, modifier, et les actions propres à chaque objet. 48 ont été vues fonctionner, 2 sont proposées par l’interface sans avoir été essayées.
Une case vide dit ce que ce passage n’a pas rencontré, jamais ce que l’application ne saurait pas faire. La table s’exporte, pour la confronter à votre couverture de tests.
« Où est-ce que ça rame ? »
Les écrans rangés du plus lent au plus rapide, chacun avec sa capture annotée, ses trois tailles, les commandes essayées et ce qui y cloche. Ici, cinq écrans dépassent neuf secondes de chargement.
« Est-ce que c’est rapide ? »
Une mesure n’est jugée que si elle a été prise. Quand elle ne l’a pas été, le rapport écrit « non mesuré » et précise que c’est une limite du passage, pas un résultat de l’application.
« Et ce qu’il n’a pas vu ? »
Sur ce passage en lecture seule, aucun enchaînement complet n’a pu être reconstitué. L’onglet ne se tait pas : il dit pourquoi, et quel réglage le remplirait au prochain passage.
Rangés en quatre groupes, du plus lu au plus technique. On peut s’arrêter au premier.
Le voyage ne s’active que sur demande. Envoyez-moi trois choses, vous recevez le rapport.
Les premiers passages sont offerts, relecture comprise, aux équipes qui acceptent de me dire ensuite ce qui leur a manqué dans le rapport.