Sécurité — Règles essentielles pour le développement

Règles de sécurité pour le développement d'applications de l'État, générées par la DINUM en s'appuyant sur 13 guides publiés par l'ANSSI. La liste des guides, leur version et la correspondance avec chaque domaine figurent dans references/sources.md.

Source : https://cyber.gouv.fr/reglementation/cybersecurite-systemes-dinformation/

Deux modes d'usage

Mode conseil — pendant le développement

Quand on écrit du code, qu'on configure un serveur, un reverse proxy, une base de données ou un pipeline CI/CD, appliquer directement les règles du ou des domaines concernés, sans produire de rapport.

• Consulter le ou les domaines pertinents de references/checklist.md.
• Dès qu'une valeur concrète est en jeu — version de TLS, suite cryptographique, taille de clé, courbe elliptique, fonction de dérivation de mot de passe, durée de rétention des journaux — la reprendre depuis references/valeurs-anssi.md. Ne jamais inventer ni approximer ces valeurs de mémoire.
• Signaler à l'utilisateur la règle appliquée et sa source ANSSI quand elle contraint un choix technique.

Mode audit — évaluation de conformité