# Votre page d’administration est en ligne

Pourquoi les pages de connexion, les panneaux d’administration et les connexions de données accessibles à tous méritent une attention particulière.

La plupart des sites comportent des parties que vous seul devriez utiliser, comme un panneau d’administration, un tableau de bord ou la connexion que votre application utilise pour lire sa base de données. Si elles se trouvent à la même adresse publique que votre site, n’importe qui peut les trouver.

Être accessible n’est pas un problème en soi. Le problème commence lorsqu’un élément accessible répond aussi sans vérifier qui vous êtes.

## Ce qu’une analyse recherche

* Une connexion de données qui renvoie des enregistrements sans connexion, comme une table de base de données ou une liste d’utilisateurs qui devrait rester privée.
* Une API qui répond à certaines requêtes avec une connexion et aux mêmes requêtes sans connexion.
* Des outils destinés aux développeurs, comme une liste publique de toutes les actions de l’API ou un explorateur de requêtes, laissés actifs sur le site en ligne.
* Des cookies de connexion visibles par les scripts de la page.

Ces cas se présentent souvent avec des applications construites rapidement sur des services comme Supabase ou Firebase, où les règles d’accès sont ouvertes pendant la construction et faciles à oublier.

## Que faire

Vérifiez les règles d’accès de chaque source de données utilisée par votre application, afin que chacune ne réponde qu’aux personnes connectées et autorisées. Désactivez les outils de développement sur le site en ligne. Lorsque c’est possible, placez le panneau d’administration derrière une connexion supplémentaire ou sur une adresse que seule votre équipe utilise.

Une analyse vous indique ce qui a répondu, avec la requête envoyée, afin que votre développeur puisse la reproduire.

> **Try it**
>
> Ouvrez [vos points à corriger](/app/findings) et cherchez tout ce qui a répondu sans connexion.