Veille Technologique : L'injection SQL




J’ai choisi de m’intéresser à l’injection SQL car elle représente l’un des risques de sécurité les plus fréquents dans le développement web.

En tant qu’étudiant en BTS SIO option SLAM, ce sujet me permet de faire le lien entre mes projets, mes cours de programmation,
et les bonnes pratiques essentielles à appliquer dès aujourd’hui pour coder de façon plus sécurisée.

Qu'est-ce qu'une injection SQL ?

Une injection SQL (SQLi) consiste à insérer du code SQL malveillant dans un champ d’entrée utilisateur, comme un formulaire de connexion. Si l’application n’est pas protégée, ce code est exécuté par la base de données, ce qui peut permettre à un attaquant de :

  • Accéder à des données confidentielles (mots de passe, e-mails, etc.)
  • Modifier ou supprimer des données dans la base
  • Contourner les systèmes de connexion
  • Parfois même, prendre le contrôle complet du serveur


C’est une faille particulièrement dangereuse, car elle peut toucher directement les données critiques d’une entreprise.

Exemple de simulation

Voici un exemple de formulaire de connexion simulant une faille d’injection SQL. Il n’utilise pas de base de données réelle, mais il montre le comportement typique d’une application vulnérable.

Comment se protéger d'une injection SQL ?

Il existe plusieurs bonnes pratiques pour empêcher les injections SQL dans une application :


  • Utiliser des requêtes préparées ou des ORM (ex : PDO en PHP, Sequelize en Node.js)
  • Éviter de construire les requêtes SQL à partir de chaînes de caractères concaténées avec les données utilisateur
  • Filtrer, valider et échapper toutes les entrées utilisateur côté serveur
  • Limiter les droits d’accès de la base de données : un utilisateur SQL ne devrait pas avoir plus de droits que nécessaire
  • Utiliser des outils de test de sécurité comme OWASP ZAP ou SQLMap pour analyser son code



La sécurité ne se limite pas à une ligne de code : elle repose sur une bonne architecture, des et des bonnes habitudes.

Articles sur l'Injection SQL

Voici 3 sites fiables que j'utilise pour suivre les actualités sur les injections SQL :








Malheureusement, aucun site répertoriant des articles sur les injections SQL ne propose de flux RSS direct.