Audit de code .NET · Formule Flash
Bonobo Git Server, audit Flash, cas d'étude public
Le projet audité
Bonobo Git Server est un serveur Git open source en ASP.NET MVC 5 (.NET Framework 4.6). Version auditée : commit 6277ecf du 5 mars 2021. Audit réalisé le 31 octobre 2026.
Voir le projet sur GitHubLes notes
Chaque axe est noté de A à E : A, aucun problème majeur ; C, plusieurs problèmes majeurs ; E, un risque grave à traiter avant toute mise en production.
- D
Sécurité
Le hachage des mots de passe et les dépendances sont à corriger en priorité.
- B
Fiabilité
Peu de défauts confirmés par un moteur d'analyse récent.
- C
Maintenabilité
Code lisible, mais bibliothèques copiées dans le dépôt et code mort.
- C
Architecture
Un contrôleur concentre trop de responsabilités.
- D
Tests
Suite saine, mais aveugle sur l'autorisation et le protocole Git.
- D
Migrabilité
Plateforme hors support : la migration vers .NET 10 est un vrai chantier.
En chiffres
- 17 130 lignes de C#
- 331 tests
- 1 202 alertes d'outils triées
- 10 fiches constat
- 27 actions
- 13 à mener sous 1 mois
Les 3 risques prioritaires
Mots de passe : Leur hachage est trop rapide, et un ancien format MD5 est encore accepté.
Composants vulnérables : 6 bibliothèques ont des failles publiques, dont l'authentification et jQuery.
Plateforme hors support : .NET Framework 4.6 n'est plus supporté depuis 2022, et le projet ne compile plus tel quel sur un poste à jour.
Ce qui va bien
- Aucun secret dans l'historique Git.
- Une couche d'accès aux données bien testée.
- Peu de défauts de fiabilité.
La méthode
- Inspections JetBrains
- Vulnérabilités des paquets NuGet
- Couverture de tests
- Recherche de secrets
- Volumétrie
Les outils d'analyse passent d'abord sur tout le code. Je lis ensuite le code de façon ciblée, là où les mesures signalent un risque. Chaque constat cite un fichier et peut être vérifié.
Cas d'étude réalisé sur un projet open source, à titre de démonstration de méthode, sans lien avec les auteurs du projet. Les constats portent sur la version citée.