Les Progressive Web Apps (PWA) ont révolutionné notre façon de créer et de déployer des applications. Il n'est pas étonnant qu'elles aient gagné en popularité. Elles simplifient le développement en combinant la flexibilité du web avec les capacités du mobile. Des fonctionnalités comme l'accès hors ligne, les notifications push et l'intégration matérielle... le tout dans la commodité d'un navigateur. Avec des mises à jour comme celles d'iOS 16.4 en 2023, intégrer des capacités de navigateur dans les applications est plus facile que jamais, alimentant la nouvelle vague d'adoption des PWA.
Mais il y a un revers. Avec leur essor vient une augmentation des risques de sécurité côté client. Et l'industrie ? Elle en parle à peine.
Les PWA sont des navigateurs
À la base, les PWA sont des navigateurs. Elles transforment chaque application en un micro-environnement web. C'est leur force : elles se chargent instantanément, réutilisent le code du site web et se connectent aux services web de manière transparente. Pourtant, cette architecture même les expose également aux vulnérabilités du web, en particulier aux risques côté client liés aux scripts tiers.
Les sites web modernes dépendent de ces scripts pour tout, de l'analyse à l'engagement des utilisateurs. Bien que pratiques, ils élargissent considérablement votre surface d'attaque. Dans une PWA, ces mêmes scripts s'exécutent directement dans l'application, amplifiant les risques tels que les violations de données, les injections malveillantes et bien plus encore.
Votre risque ne se limite plus aux visiteurs du site web ; il s'étend à chaque utilisateur de l'application.
Gardez à l'esprit la chaîne d'approvisionnement web
Le côté client est la dernière étape de la chaîne. C'est là que votre code, qu'il soit propriétaire ou tiers, se charge dans le navigateur ou la PWA de l'utilisateur.
Les scripts tiers provenant de fournisseurs externes sont essentiels mais échappent souvent à votre contrôle, ce qui en fait des cibles privilégiées pour les attaquants. Des scripts d'analyse compromis qui divulguent des données utilisateur au code malveillant injecté dans les chatbots, le côté client est sous menace constante.
Créer une PWA ne fait qu'amplifier ces risques en les intégrant dans votre application.
Les PWA ne sont pas mauvaises
Cela dit, nous ne préconisons pas d'éviter les PWA. Selon vos besoins, elles sont probablement le choix le plus judicieux. Ne négligez simplement pas les défis de sécurité qu'elles apportent. Malheureusement, les vulnérabilités côté client, en particulier celles provenant des scripts tiers, sont souvent ignorées.
Nous avons créé cside, un outil de surveillance et de sécurité des scripts tiers. Cela résout tous ces problèmes dans les environnements web et PWA. Installez-le dès maintenant, ou contactez-nous - nous serons ravis de vous aider à démarrer.
