Re: mod_security

L’intérêt d'un pare-feu qui demande (...) assez limité à mon avis sur un serveur de production

Oui, c'est exact pour la production. La responsabilité et l'élaboration d'une whitelists devrait revenir aux dèvs. L'ajout d'une dépendance est une décision qui vient du dev du projet ou de l'un des devs d'une des dépendances, ou d'une dépendance de dépendance.
Tout cela étant ensuite poussé sur les serveurs de devs, et parfois de façon automatique.

Au final, il n'y a pas de maitrise, ni des versions utilisés, ni des dépendances, (et je ne parle pas du respect des licences libres) et c'est ce que je reproche à cet écosystème.

Ce que je trouve regrettable, c'est que ces outils n'intègrent pas mieux ces sécurités élémentaires dans leur mode de développement. Que la facilité l'emporte sur la sécurité.

Si vous avez des bonnes pratiques pour sécuriser les postes de devs, c'est le moment de partager ;)

Dans un contexte de serveurs de production, on devrait normalement avoir une console de supervision qui s'allume comme un sapin de noël

C'est surement le cas dans les grosses infra, mais ce n'est quand même pas si courant que ça.