Bloquer l’accès public involontaire
Désactivez l’accès public au niveau du compte ou du compartiment lorsque la plateforme le permet. Examinez les règles, l’hébergement de site, les ACL des objets et les URL signées afin qu’un niveau ne contourne pas l’autre.
Séparez les ressources publiques des données privées par compartiments ou préfixes. La frontière devient plus facile à vérifier et les futurs dépôts risquent moins d’hériter de droits trop larges.
Limiter précisément les droits
Utilisez des autorisations liées à des compartiments, préfixes et actions précis. Une application en lecture seule ne devrait pas pouvoir supprimer des objets ou gérer les règles ; les identifiants administratifs ne doivent pas figurer dans le code client.
Examinez les journaux et testez des URL depuis une session non authentifiée. Renouvelez les secrets exposés, retirez les accès obsolètes et ajoutez un contrôle de confidentialité à chaque changement de règle ou de diffusion.