Expert Sécurité Applicative .NET - Audit

Contexte

Dans le cadre d'un programme de sécurisation de son patrimoine applicatif, notre client recherche un expert en sécurité applicative .NET / C#, capable de réaliser un audit de sécurité du code, d'identifier les vulnérabilités, de mettre en œuvre des premières corrections et d'accompagner les équipes de développement.

Le périmètre comprend :

• 55 applications développées en environnement .NET.
• Environ 4 700 lignes de code applicatif par application en moyenne.
• Des composants et bibliothèques tiers (JavaScript, Bootstrap, jQuery...) représentant une volumétrie complémentaire importante.

La mission s'articule autour de trois phases successives.

Phase 1 — Audit de sécurité et premières corrections

Livraison impérative au plus tard le 15 novembre 2026.

Le consultant aura pour responsabilités de :

• Définir et déployer une méthodologie d'audit de sécurité adaptée au patrimoine applicatif.
• Réaliser une analyse transverse des 55 applications et approfondir l'examen des applications les plus représentatives ou critiques.
• Identifier et qualifier les vulnérabilités : injections, XSS, authentification, gestion des droits, secrets, dépendances vulnérables, configurations sensibles...
• Examiner les pratiques de développement et les dispositifs de sécurité intégrés aux processus CI/CD.
• Distinguer les risques liés au code développé en interne de ceux associés aux composants tiers.
• Sélectionner deux problèmes de sécurité représentatifs, réaliser leur correction et démontrer les résultats avant/après, tests à l'appui.
• Produire un rapport d'audit, une cartographie des risques et un plan de remédiation priorisé.

L'audit devra être réalisé avec une approche combinant analyse automatisée, outils gratuits ou open source et expertise humaine, sans dépendance à une licence commerciale payante.

Phase 2 — Remédiation et sécurisation

À l'issue de l'audit, le consultant accompagnera la mise en œuvre du plan de remédiation :

• Correction des vulnérabilités prioritaires.
• Renforcement de la sécurité du code et des dépendances.
• Amélioration et automatisation des contrôles de sécurité.
• Validation des corrections et tests de non-régression.

Phase 3 — Formation et transfert de compétences

Le consultant interviendra également auprès des équipes techniques afin de :

• Former les développeurs aux bonnes pratiques de Secure Coding .NET / C#.
• Sensibiliser aux vulnérabilités OWASP.
• Transmettre une méthodologie de revue et de sécurisation du code.
• Accompagner l'intégration durable des contrôles de sécurité dans les pratiques DevOps.

Compétences indispensables

• Excellente maîtrise de C# / .NET / ASP.NET.
• Expérience confirmée en audit de sécurité applicative et revue de code source.
• Solide connaissance des vulnérabilités OWASP et des pratiques de développement sécurisé.
• Capacité à identifier, qualifier et corriger directement des failles de sécurité.
• Maîtrise de méthodes et outils d'analyse statique (SAST), notamment gratuits ou open source.
• Connaissance de la sécurité des dépendances .NET / NuGet et JavaScript.
• Bonne compréhension des environnements DevOps et pipelines CI/CD.
• Capacité à produire des livrables structurés et à transmettre son expertise.

Compétences appréciées

• Expérience sur .NET Framework historique et .NET moderne.
• Expérience d'audit d'un patrimoine multi-applicatif.
• Connaissance d'Azure DevOps, GitLab CI ou Jenkins.
• Expérience de formation et d'accompagnement d'équipes de développement.

Conditions de travail

• Démarrage : Immédiat / ASAP
• Échéance impérative de la phase d'audit : 15 novembre 2026
• Séniorité : Senior / Expert
• Durée : audit initial, suivi de phases de remédiation et de formation
• Localisation / Télétravail : à préciser

1. Expert technique hands-on, idéalement issu du développement ou du Tech Lead .NET et spécialisé dans la sécurité applicative
2. Capacité à intervenir dans le code, corriger les vulnérabilités et démontrer l'efficacité des solutions mises en place
3. Autonomie, pragmatisme, capacité de synthèse et respect des délais
4. Disponibilité immédiate indispensable