Sécuriser avec l'IA

# Prompt de scan sécurité :
# "Analyse ce composant React/Next.js pour des failles de sécurité.
# Vérifie spécifiquement :
# - Injection XSS (dangerouslySetInnerHTML, eval, innerHTML)
# - Données utilisateur non validées
# - Secrets exposés côté client
# - Redirections ouvertes
# - CORS mal configuré
#
# Code :
# [colle ton composant ou ta route API]
#
# Réponds avec :
# 1. Les failles trouvées (gravité + ligne)
# 2. Le code corrigé pour chaque faille
# 3. Des tests pour vérifier la correction"

# Prompt pour les headers :
# "Génère la configuration complète des headers de sécurité
# pour un site Next.js hébergé sur Cloudflare Pages.
#
# Le site :
# - Utilise Supabase (auth + base de données)
# - Charge des fonts Google (next/font)
# - Utilise Font Awesome via CDN
# - A des images hébergées sur le même domaine
# - Utilise Stripe pour les paiements
#
# Génère :
# 1. La config next.config.ts avec tous les headers
# 2. La Content-Security-Policy adaptée à cette stack
# 3. Un commentaire pour chaque header expliquant son rôle"

// Content-Security-Policy générée et vérifiée
const cspDirectives = [
  "default-src 'self'",
  "script-src 'self' 'unsafe-inline' https://js.stripe.com",
  "style-src 'self' 'unsafe-inline' https://cdnjs.cloudflare.com",
  "font-src 'self' https://cdnjs.cloudflare.com",
  "img-src 'self' data: blob:",
  "connect-src 'self' https://*.supabase.co https://api.stripe.com",
  "frame-src https://js.stripe.com",
  "object-src 'none'",
  "base-uri 'self'",
  "form-action 'self'",
].join('; ')

// Dans next.config.ts headers() :
{ key: 'Content-Security-Policy', value: cspDirectives }

# Prompt après npm audit :
# "Voici le résultat de npm audit pour mon projet Next.js :
#
# [colle la sortie de npm audit]
#
# Pour chaque vulnérabilité :
# 1. Explique le risque concret pour MON type de site (SaaS, contenu statique)
# 2. Dis si c'est exploitable dans mon contexte (front-end seulement)
# 3. Propose la meilleure solution (update, patch, remplacement)
# 4. Si npm audit fix --force est dangereux, explique pourquoi"

# Prompt pour auditer tes RLS :
# "Voici mes politiques Row Level Security Supabase :
#
# [colle le contenu de schema.sql]
#
# Vérifie que :
# 1. Aucune table n'est accessible sans RLS activé
# 2. Les policies SELECT ne leakent pas de données d'autres utilisateurs
# 3. Les policies INSERT/UPDATE vérifient bien auth.uid()
# 4. La table orders n'est pas modifiable par les utilisateurs
# 5. Pas de bypass possible via les filtres"

# Workflow en 4 étapes :

# Étape 1 : Scan automatique
npm audit
npx lighthouse https://tonsite.com --only-categories=best-practices

# Étape 2 : Analyse IA des résultats
# Colle les rapports dans l'IA avec ton contexte stack

# Étape 3 : Applique les corrections
# L'IA donne le code, tu vérifies et tu appliques

# Étape 4 : Vérifie
# Relance les outils pour confirmer que les failles sont corrigées
# Teste manuellement les fonctionnalités impactées