Retour sur BDX I/O édition 2025

Retour sur BDX I/O : mon top 3 des conférences !

Le 7 novembre dernier, j’ai pu assister à BDX I/O, une journée de conférence au palais des congrès de Bordeaux.

Durant cette journée, il y avait plusieurs conférences sur divers sujets liés à l’IT : développement, infrastructure, méthodologie de gestion de projet, …
Il y a également un espace où des entreprises peuvent présenter leurs activités, c’est notamment dans ce cadre que j’ai pu assister à cette journée car Néosoft disposait d’un stand.

Dans cet article, je vais partager un retour d’expérience sur cette édition en partageant mon top 3 des conférences.

---

De développeur à hacker : savoir casser, c’est savoir protéger

Le sujet de la conférence portait principalement sur la cybersécurité.
Les intervenants ont d’abord présenté les méthodes permettant de détecter des failles de sécurité dans le code :

• Le pentesting, où un organisme externe sera mandaté pour faire des tests d’intrusions.  
• Le bug bounty où n’importe qui peut chercher des failles, transmettre un rapport à l’entreprise éditrice du site pour ensuite être rémunéré uniquement si la faille est vraiment avérée.

Également, la conférence a fait un tour d’horizon des failles de sécurité de l’informatique par domaine (développement, infrastructure, réseaux, …).
Pour chaque domaine, les principales failles ont été expliquées grâce à un scénario d’intrusion, puis il a été expliqué comment s’en protéger.

Pourquoi cela m’a intéressé ?

Tout d’abord parce que cela fait écho avec ma mission cliente. En effet, je travaille dans le service de gestion des vulnérabilités (CVE, CERTFR, obsolescence). Je côtoie donc au quotidien les risques de sécurité informatique, et il m’est nécessaire de mieux savoir comment s’en protéger.

Ensuite, parce que la cybersécurité est aujourd’hui un sujet majeur.

Quand une faille est découverte, il est souvent trop tard et je trouve qu’il est nécessaire d’anticiper les risques de sécurité dès l’écriture du code.

Qu’est-ce que cela va m’apporter dans mon quotidien professionnel ?

Grâce à cette conférence, je vais pouvoir mieux anticiper les risques de sécurité liés à mon métier de développeur.

La conférence évoquait des failles dans tous les domaines de l’informatique, mais je me suis surtout intéressé aux failles de mon métier :

• Faille XSS qui permet d’exécuter du code sur le site attaqué et ainsi détourner des informations (des cookies utilisateurs comme évoqué dans la conférence)
• Faille IDOR qui permet de consulter des pages qu’on ne devrait pas avoir accès en modifiant des urls (et notamment les identifiants qu’il pourrait avoir dans ladite url)

Grâce à la conférence, je vais ainsi pouvoir mieux anticiper avec les solutions suivantes.

Pour la faille XSS :

• Il est nécessaire de ne pas faire confiance à l’utilisateur lorsqu’il remplit un formulaire et de vérifier toute la saisie
• Il est utile de mettre en place les Content Security Policy de manière correcte pour pouvoir restreindre l’accès à du code non autorisé avant même qu’il soit exécuté.

Pour la faille IDOR:

• Il est nécessaire de ne pas utiliser des id incrémentaux (ex: 1, 2, 3 ….) mais plutôt utiliser des identifiants moins prévisibles (comme par exemple des UUID v7)
• Sur chaque URL, il est nécessaire de mettre des rôles de sécurité pour pouvoir bien vérifier que l’utilisateur a le droit de consulter la ressource demandée (et si ce n’est pas le cas, lever une erreur HTTP 403)

Gitflow c’est bien, Gitbutler c’est mieux

La conférence a commencé par rappeler les principes de Gitflow : une organisation des branches avec une branche principale, une branche de développement, et des branches dédiées aux fonctionnalités ou corrections de bugs.

Ensuite, l’outil Gitbutler a été présenté comme une solution pour simplifier la gestion des branches et des commits grâce à une interface graphique intuitive.

Pourquoi cela m’a intéressé ?

J’utilise Git en ligne de commande depuis mes débuts en 2012, mais retenir toutes les commandes (il en existe plus de 80 !) n’est pas toujours simple. Comme beaucoup, j’en maîtrise une vingtaine, ce qui peut parfois limiter la fluidité.

Ce que ça m’apporte :

Avec Gitbutler, je peux :

• Gérer mes branches visuellement : au moment d’un commit, je sélectionne facilement la branche de destination via l’interface.
• Résoudre les conflits plus simplement : lors d’une fusion ou d’un pull, l’outil propose une gestion graphique claire.
• Gagner du temps : plus besoin de retenir une multitude de commandes, tout est accessible en quelques clics.

Le seul bémol : Gitbutler est encore en bêta, ce qui peut freiner certaines entreprises. Mais son potentiel est énorme pour améliorer la productivité des équipes.

Du design à la production : exploration d’une Event-Driven Architecture

Cette conférence explique la mise en place de l’architecture Event-Driven pour l’entreprise du speaker.

Pourquoi cela m’a intéressé ?

J’ai un cursus scolaire d’architecture logicielle et je trouve toujours intéressant d’explorer de nouvelles architectures

Qu’est-ce que cette architecture peut apporter ?

Cette architecture peut apporter de la flexibilité dans l’écriture d’un code.

A chaque fois qu’une action est faite par l’utilisateur, le front-end lance un événement et envoie un message à un gestionnaire de message (Redis, RabbitMQ, …)

Ainsi pour chaque action que peut faire un utilisateur, on peut faire un nouvel event listener qui va écouter les messages et faire les actions requises.

Cette approche présente plusieurs avantages :

• On découpe mieux le code. Pour chaque fonctionnalité, on écrit du code plus petit. Cela permet d’avoir un code plus lisible
• On peut faire évoluer plus facilement le code. S’il y a une nouvelle fonctionnalité, on ajoute un nouvel événement et un nouvel event listener et on peut avoir plus facilement une fonctionnalité prête.
• C’est scalable. Si une fonctionnalité a besoin de plus de performance, on peut plus facilement déployer plusieurs fois le même event listener.

Conclusion

J’ai pris beaucoup de plaisir à assister à cette journée de conférences, particulièrement riche en apprentissages.

Au-delà de mon top 3, certaines conférences hors de mon cœur de métier, comme celle sur le cloud souverain, m’ont permis de me sensibiliser à des enjeux importants liés à l’hébergement des données.

BDX I/O m’a également permis d’approfondir des sujets que je connaissais déjà, comme Git, tout en découvrant de nouvelles approches et outils.

Merci Néosoft de m’avoir permis d’assister à cette journée.