La tendance ne faiblit pas

Par mois, d'oct. 2025 à sept. 2026. Source : frenchbreaches.com

Quelques exemples récents

Sources : frenchbreaches.com - bonjourlafuite.eu.org - cnil.fr - cyberveille.esante.gouv.fr

Pas si, mais quand

Repousser ce jour

L'objectif du modèle

Réduire la confiance implicite

Toujours vérifier
Ne jamais faire confiance

Historique

Sources : fr.wikipedia.org - nist.gov - cyber.gouv.fr

Les 5 piliers du Zero Trust

Les mécanismes par pilier

Plus de détails

ANSSI

Modèle Zero Trust : les fondamentaux

NIST

SP 800-207, Zero Trust Architecture

Et Symfony ?

Sources : security - access_token - access_control - voters - secrets

La base de données

Aujourd'hui, on se concentre sur la donnée

Zero Trust, appliqué à la donnée

Même votre SGBD n'a pas à tout voir

Chiffrer les données

Chiffrer, oui, mais où ?

pgcrypto ?

Trust both system and database administrator. […] If you cannot, then better do crypto inside client application.

Source : documentation PostgreSQL, pgcrypto, Security Limitations

Où intercepter la donnée ?

Un Type Custom Doctrine par champ

Chiffrement et clés à gérer

Symfony 8.2 : KeyManagement

Un nouveau composant, sortie fin novembre 2026.

Gérer/Communiquer avec vos KMS

Flag expérimental (Amené à évoluer)

composer require symfony/key-management:^8.2@dev
    

Un KMS, c'est quoi ?

Key Management System : gérer vos clés de chiffrement

Sources : Wikipédia, Key management

Les KMS compatibles

AWS KMS

symfony/aws-key-management:^8.2@dev
            

Azure Key Vault

symfony/azure-keyvault-key-management:^8.2@dev
            

Google Cloud KMS

symfony/google-cloud-key-management:^8.2@dev
            

HashiCorp Vault

symfony/hashicorp-vault-key-management:^8.2@dev
            

En local : Sodium ou OpenSSL.

Chiffrement par enveloppe

Déchiffrer

Configurer vos KMS

# config/packages/key_management.yaml
key_management:
    clients:
        # e.g. aws-kms://default?region=eu-west-1
        aws: '%env(AWS_KMS_DSN)%'
        # e.g. hashicorp-vault-transit://TOKEN@vault.example.com:8200
        vault: '%env(VAULT_KMS_DSN)%'
    default_client: vault

when@dev:
    key_management:
        clients:
            aws: 'sodium://?keys[app-key]=%env(DEV_KMS_KEY)%'
            vault: 'sodium://?keys[app-key]=%env(DEV_KMS_KEY)%'
    

Déclarer le type chiffré

# config/services.yaml
services:
  app.encrypted_types:
    class: Symfony\Component\KeyManagement\Bridge\DoctrineDbal\EncryptedTypes
    public: true
    arguments:
      $envelopes: '@key_management.envelope_encrypter.aws'
      $types:
        encrypted_string: { type: string, key: 'app-key' }
    

// src/Kernel.php
public function boot(): void
{
    parent::boot();
    $this->container->get('app.encrypted_types')->register();
}
    

Et dans l'entité

#[ORM\Entity]
class User
{
    #[ORM\Column(type: 'encrypted_string')]
    private string $email = '';
}
    

Le reste de l'application ne change pas.

En base : une colonne binaire (bytea), plus longue que la valeur.

Cherchons un utilisateur

$repository->findOneBy(['email' => $email]);
    

null

Le chiffrement est non déterministe

Pourquoi WHERE email = ? ne trouve rien

$encrypter->encrypt('app-key', 'jane@example.com'); // AQf3…9Qk=
$encrypter->encrypt('app-key', 'jane@example.com'); // Zt8x…M2w=
    

Même valeur, deux chiffrés différents

Solutions ?

Pourquoi le blind index ?

Le blind index

Dans l'entité

#[ORM\Entity]
class User
{
    #[ORM\Column(type: 'encrypted_string')]
    private string $email = '';

    #[ORM\Column(length: 64)]
    #[BlindIndexed('email', Email::class)]
    private string $emailIndex = '';
}
    

L'empreinte est calculée à chaque flush

Cherchons à nouveau

// dans UserRepository
$this->findOneBy(['emailIndex' => $this->emailBlindIndex->of($email)]);
    

Un User

La recherche reste explicite : on cherche l'empreinte, pas la valeur

Même valeur ?

" Jane@ExAmPle.COM "  →  "Jane@example.com"
    

Le BlindedIndex Email normalise la valeur

Chercher sur une partie ?

// tous les comptes d'un domaine
#[BlindIndexed('email', EmailDomain::class)]
private string $emailDomainIndex = '';
    

L'index EmailDomain

Une empreinte par domaine

Votre propre index : le téléphone

Étendre BlindIndex, redéfinir project()

// "06 12 34 56 78", "+33 6 12-34-56-78" → "+33612345678"
final class Phone extends BlindIndex
{
    protected function project(#[\SensitiveParameter] string $value): string
    {
        $util = PhoneNumberUtil::getInstance();

        return $util->format(
            $util->parse($value, 'FR'),
            PhoneNumberFormat::E164,
        );
    }
}
    

Usage : giggsey/libphonenumber-for-php

Et par pays ?

// "+33 6 12 34 56 78" → "FR" ; la recherche "fr" → "FR"
final class PhoneCountry extends BlindIndex
{
    protected function project(#[\SensitiveParameter] string $value): string
    {
        $util = PhoneNumberUtil::getInstance();

        return $util->getRegionCodeForNumber(
            $util->parse($value, 'FR')
        ) ?? '';
    }
}
    

Deux index, une colonne

#[ORM\Column(type: 'encrypted_string')]
private string $phone = '';

#[ORM\Column(length: 64)]
#[BlindIndexed('phone', Phone::class)]
private string $phoneIndex = '';

#[ORM\Column(length: 64)]
#[BlindIndexed('phone', PhoneCountry::class)]
private string $phoneCountryIndex = '';
    

Attention aux raccourcis

Le BlindedIndex repose sur l'ORM

Une écriture niveau DBAL : l'index n'est pas recalculé

Que chiffrer avec recherche ?

Même valeur, même empreinte : attaque par fréquence

Et ailleurs ?

Les outils

• Java : Jakarta Persistence, AttributeConverter, Google Tink pour l'écrire
• TS/JS : prisma-field-encryption, NestJS, Prisma
• Python : django-fernet-encrypted-fields

Et en NoSQL : MongoDB

Queryable Encryption

#[ODM\Field(type: 'string')]
#[ODM\Encrypt(queryType: EncryptQuery::Equality)]
public string $ssn;
    

Natif dans Doctrine ODM depuis la 2.12

MongoDB Enterprise 7.0+ & Atlas

Sources : documentation MongoDB - Doctrine ODM

Ce que ça ne protège pas

Une application compromise.

Perdre la clé principale

Clé principale perdue ou désactivée : données illisibles.

Plusieurs KMS

Un client composite

key_management:
    clients:
        aws: '%env(AWS_KMS_DSN)%'
        vault: '%env(VAULT_KMS_DSN)%'
        both:
            members: { aws: ~, vault: ~ }
    default_client: both
    

Chiffrer une base existante

• Nouvelle colonne binaire
• Reprendre chaque ligne
• Recalculer les index via l'ORM

Un composant expérimental

L'API peut changer

Symfony 8.2 sort fin novembre 2026

Quoi chiffrer ?

• Les données sensibles
• Les données personnelles
• Ne pas tout chiffrer systématiquement