Considérations générales

Un système complètement sécurisé est virtuellement impossible. De ce fait, une approche qui équilibre les risques et l'ergonomie est souvent retenue. Si toutes les variables envoyées par l'utilisateur nécessitaient deux formes d'identification biométriques (comme par exemple un scanner de la rétine, et une empreinte digitale), vous pourriez avoir un niveau de sécurité élevé. Cela prendrai aussi une demi-heure pour remplir les conditions de sécurité, ce qui pousserait les utilisateurs à éviter d'utiliser votre système.

La meilleure sécurité est celle qui protège votre système, sans empêcher les utilisateurs de faire leur travail. En général, les attaques exploitent des trous de sécurité entre diverses couches d'identification : cet empilement devient trop complexe, et finalement, peu fiable.

Une phrase qui vaut la peine d'être retenue : un système est aussi fiable que son maillon le plus faible. Si toutes les transactions sont exhaustivement noté (heure, lieu, type, etc...) mais que l'utilisateur n'est authentifié que par un cookie, la validité de votre système de surveillance est intimement lié à la validité du cookie (et donc, sévèrement réduite).

Lors de vos tests, gardez à l'esprit que vous ne pourrez pas tester toutes les configurations, mais probablement les plus simples. Les données en entrées auxquelles vous pouvez vous attendre ne seront rien comparées aux données incohérentes qu'un employé négligent, un hacker disposant d'autant de temps qu'il veut, ou du chat de la maison marchant sur le clavier. Il est donc bon de regarder le code logiquement, de voir d'où des données incohérentes peuvent être introduites, modifiées, réduites ou amplifiées.

L'Internet est rempli de personnes qui tentent de se faire une renommée en piratant vos programmes, bloquant votre site, envoyant des contenus inappropriés, qui rendent vos journées si "spéciales". Peut importe que vous ayez un grand portail ou un petit web, vous pouvez être la cible pour tout quidam avec une connexion. Vous êtes une cible potentielle dès que vous êtes connecté vous même. Certains programmes de piratage ne font pas dans la demi-mesure, et testent systématiquement des millions d'IP, à la recherche de victimes : ne soyez pas la prochaine.