{"id":207610,"date":"2026-11-06T12:12:00","date_gmt":"2026-11-06T11:12:00","guid":{"rendered":"https:\/\/cms-articles.softonic.io\/fr\/?p=207610"},"modified":"2026-11-06T12:12:17","modified_gmt":"2026-11-06T11:12:17","slug":"blueflag-security-alerte-sur-les-depots-de-code-99-des-jetons-dacces-nexpirent-jamais","status":"publish","type":"post","link":"https:\/\/cms-articles.softonic.io\/fr\/blueflag-security-alerte-sur-les-depots-de-code-99-des-jetons-dacces-nexpirent-jamais\/","title":{"rendered":"BlueFlag Security alerte sur les d\u00e9p\u00f4ts de code: 99 % des jetons d\u2019acc\u00e8s n\u2019expirent jamais"},"content":{"rendered":"

Dans son rapport State of Developer Risk 2026<\/em>, consacr\u00e9 aux risques li\u00e9s aux acc\u00e8s des d\u00e9veloppeurs, BlueFlag Security avance un chiffre qui donne le ton : en 2026, 99 %<\/strong> des jetons d\u2019acc\u00e8s aux d\u00e9p\u00f4ts de code n\u2019ont pas de date d\u2019expiration.<\/p>\n\n

Le m\u00eame rapport indique aussi que 84 %<\/strong> de ces jetons permettent de modifier le code. Et 47 % n\u2019avaient pas \u00e9t\u00e9 utilis\u00e9s depuis plus de 90 jours, sans avoir \u00e9t\u00e9 r\u00e9voqu\u00e9s pour autant.<\/p>\n\n

Pour les entreprises, le sujet est loin d\u2019\u00eatre anodin. Les d\u00e9p\u00f4ts de code font partie de leurs actifs les plus sensibles, et un jeton vol\u00e9, ou simplement oubli\u00e9 dans un coin, peut garder un acc\u00e8s durable<\/strong> \u00e0 un d\u00e9p\u00f4t critique sans d\u00e9clencher d\u2019alerte imm\u00e9diate.<\/p>\n\n

D\u00e8s lors que ce jeton autorise des modifications, le risque ne se limite plus \u00e0 la simple consultation. On parle aussi d\u2019injection de code malveillant<\/strong>, de sabotage de pipeline ou encore de modification de param\u00e8tres sensibles.<\/p>\n\n

L\u2019\u00e9tude de BlueFlag Security montre par ailleurs que l\u2019exc\u00e8s de privil\u00e8ges<\/strong> reste massif du c\u00f4t\u00e9 humain. En moyenne, un d\u00e9veloppeur n\u2019avait utilis\u00e9 que 39 % des permissions qui lui avaient \u00e9t\u00e9 accord\u00e9es. Les 61 % restaient dormaient.<\/p>\n\n

Et ce n\u2019est pas le plus rassurant. D\u2019apr\u00e8s BlueFlag Security, 88 %<\/strong> des d\u00e9veloppeurs qui cumulaient le plus grand nombre de droits inutilis\u00e9s pouvaient aussi acc\u00e9der \u00e0 des d\u00e9p\u00f4ts consid\u00e9r\u00e9s comme critiques pour l\u2019activit\u00e9. Dit autrement, une part non n\u00e9gligeable des autorisations accord\u00e9es n\u2019est pas utile au travail quotidien, mais reste disponible si un compte se fait compromettre. De quoi regarder ces chiffres avec s\u00e9rieux.<\/p>\n\n

Autre angle mort, les comptes dormants. Le rapport de BlueFlag Security indique que quatre organisations sur cinq<\/strong> conservaient encore des identit\u00e9s de d\u00e9veloppeurs inactives depuis plus de 90 jours, tout en leur laissant des permissions d\u2019administration. En cas de vol d\u2019identifiants, ces acc\u00e8s peuvent suffire pour alt\u00e9rer des d\u00e9p\u00f4ts ou changer des r\u00e9glages de s\u00e9curit\u00e9.<\/p>\n\n

Le d\u00e9s\u00e9quilibre ne s\u2019arr\u00eate pas l\u00e0. Dans l\u2019\u00e9chantillon \u00e9tudi\u00e9 par BlueFlag Security, les identit\u00e9s non humaines, comptes de service, bots, applications connect\u00e9es et jetons, \u00e9taient huit fois<\/strong> plus nombreuses que les d\u00e9veloppeurs humains. Forc\u00e9ment, la gouvernance devient plus compliqu\u00e9e, d\u2019autant que BlueFlag pr\u00e9cise qu\u2019une organisation type utilisait environ sept outils de d\u00e9veloppement automatis\u00e9s. Certaines en exploitaient plus de 30.<\/p>\n\n

M\u00eame constat du c\u00f4t\u00e9 des agents non approuv\u00e9s. Selon BlueFlag Security, ils apparaissaient dans 83 %<\/strong> des environnements observ\u00e9s. Et dans 6 organisations sur 10 concern\u00e9es, ces agents s\u2019appuyaient sur des jetons capables de cloner l\u2019ensemble des d\u00e9p\u00f4ts.<\/p>\n\n

Le probl\u00e8me, au fond, d\u00e9passe les seuls droits d\u2019acc\u00e8s. Dans cette m\u00eame \u00e9tude, BlueFlag Security explique que 28,65 millions<\/strong> de nouveaux secrets cod\u00e9s en dur<\/a> ont \u00e9t\u00e9 rep\u00e9r\u00e9s dans des commits publics sur GitHub<\/a> en 2025, soit une hausse de 34 % sur un an. Plus marquant encore, 64 % des identifiants confirm\u00e9s comme valides en 2022 l\u2019\u00e9taient toujours en janvier 2026.<\/p>\n\n

Pour les experts, la r\u00e9ponse passe par une gouvernance plus stricte des identit\u00e9s et des jetons : principe du moindre privil\u00e8ge, revues d\u2019acc\u00e8s r\u00e9guli\u00e8res, dur\u00e9e de vie maximale pour les jetons, limitation des jetons personnels classiques, adoption de m\u00e9canismes plus solides comme les applications d\u00e9di\u00e9es ou OpenID Connect (OIDC), surveillance des comportements, revue de code s\u00e9curis\u00e9e, r\u00e9vocation rapide des acc\u00e8s inutilis\u00e9s<\/a><\/strong> et rotation syst\u00e9matique des secrets.<\/p>\n\n

Le vrai danger ne tient donc plus seulement \u00e0 l\u2019erreur humaine. Il tient aussi \u00e0 ces acc\u00e8s qui restent l\u00e0, en silence, et que plus personne ne surveille.<\/p>\n\n

Suivez-moi sur Twitter<\/a> : @pierrevitre<\/p>","protected":false},"excerpt":{"rendered":"

Dans son rapport State of Developer Risk 2026, consacr\u00e9 aux risques li\u00e9s aux acc\u00e8s des d\u00e9veloppeurs, BlueFlag Security avance un chiffre qui donne le ton : en 2026, 99 % des jetons d\u2019acc\u00e8s aux d\u00e9p\u00f4ts de code n\u2019ont pas de date d\u2019expiration. Le m\u00eame rapport indique aussi que 84 % de ces jetons permettent de … Continue reading “BlueFlag Security alerte sur les d\u00e9p\u00f4ts de code: 99 % des jetons d\u2019acc\u00e8s n\u2019expirent jamais”<\/span><\/a><\/p>\n","protected":false},"author":9349,"featured_media":207609,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","wpcf-pageviews":0},"categories":[16761],"tags":[],"usertag":[],"vertical":[],"content-category":[17507],"class_list":["post-207610","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news","content-category-ia"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t