Tutoriel technique

Auditer la sécurité d'une app Symfony en 30 minutes — checklist 2026

12 commandes à passer pour cartographier les CVE dormantes, les routes oubliées, les permissions trop laxistes d'une application Symfony en production.

1 min de lecture

Cette checklist est celle que nous déroulons en début de mission quand nous reprenons un legacy Symfony. Elle prend 30 minutes, donne 80 % du verdict, et permet de chiffrer une intervention.

1. Inventaire des vulnérabilités CVE

composer audit
php bin/console security:check

2. Routes exposées non protégées

php bin/console debug:router | grep -v 'IS_AUTHENTICATED'

3. Configuration mal câblée

php bin/console debug:container --errors
php bin/console doctrine:schema:validate

4. Listeners Doctrine et leur surface

php bin/console debug:event-dispatcher | grep doctrine

5. Permissions et rôles dormants

php bin/console debug:firewall main
php bin/console security:hash-password

La suite (point 6 à 12) couvre les uploads, les CSP headers, la rotation des secrets, les rate limiters, et le packaging des erreurs en production. Document complet en téléchargement après inscription newsletter.