Formation continue sur la sécurisation d'un site Web?

Bonjour,
je ne suis pas tout à faire sur d'être sur le bon forum. Mais voilà je suis à la recherche d'une formation continue (idéalement sur Grenoble) qui aborderait la problématique de la sécurisation d'un site web "côté développeur". Le problème que je rencontre actuellement est en effet le suivant:
Notre entreprise a des sites Web hébergés chez OVH (en mutualisé). Après avoir fait développé ces sites par des personnes extérieures, nous souhaitons pouvoir reprendre ces sites par nous-même. Ces sites ont les particularités suivantes:

• Des sections sont réservées aux membres (situation classique)
• Il y a des échanges entre le site Web, et une application (non-web) pour la gestion de licences, etc.
• Les sites ont un dossier "ftp" qui reçoit des fichiers en provenance de l'application "non-web"

Donc notre problématique, en terme de sécurité est:

• Assurer qu'aucune page membre n'est accessible si la personne n'est pas authentifiée
• Assurer l'intégrité, et une sécurité minimale, des échanges avec l'application (sans passer par du SSL)
• Assurer que la zone "ftp" ne puisse injecter du code malicieux dans notre site (les fichiers reçus ne sont normalement que des données mais on fait des vérifications dessus)
• S'assurer que les données transférées (par FTP, ou HTML GET/POST) ne sont pas altérées par la communication (on a mis en place un CRC sur les fichiers) et savoir quels sont les modes de communications Internet les moins nocifs pour les communications

Comme il y a probablement d'autres cas de risques que nous n'avons pas envisagé, ce que je cherche ce n'est pas une "solution" pour chacun de ces points, mais plus une formation "sécurité web" orientée "faire du développement web en tenant compte des risques quand on ne contrôle pas l'infrastructure".

J'ai fait une première recherche Internet mais cela me renvoie sur des approches "sécurité pour IT". Aussi si vous connaissez des organismes de formation continue qui proposent ce que je recherche, je suis vivement intéressé.

Merci d'avance.

Pas de réponse sur ces organismes... Il me semble que vu votre demande, un consultant serait avantageux pour vous, il pourrait avoir une approche personnalisée et didactique de vos problèmes.

Pour l'intégrité des échanges, des protocoles comme http et ftp n'étant absolument pas chiffrés, dire "sans passer par du SSL" est un non-sens vu la demande. FTP est écoutable en clair et on ne peut donc rien garantir.

La sécurité est une approche globale qui concerne toutes les couches de l'applicatif, le réseau, le système, les services, le SGBD, et surtout désormais tout ce qui concerne l'applicatif lui-même : XSS, CSRF, injections, vols de sessions...
Les menaces sont listées par l'OSWAP : http://owasptop10.googlecode.com/fil...-%20French.pdf

Bonjour,
Au final j'ai trouvé la formation que je cherchais. Suivant les mois elle est orientée soit IT, soit développeurs. En j'avoue avoir appris plein de choses que je commence à mettre en place dans mon boulot actuel. Je m'étais inscrit chez PLB Consultants mais au final la formation provenait de LearningTree. Elle s'intitule "sécurité des services et applications Web". Comme quoi en insistant on arrive quand même à trouver des choses intéressante sur le Web ;-).