Durcir ASP.NET Core Data Protection en 7 etapes apres CVE-2026-40372 : la checklist qui economise 3 nuits blanches a vos equipes

— Etape 1 : inventaire des services .NET et profil Key Ring

Commencer par un inventaire complet : tous les services en production qui utilisent Microsoft.AspNetCore.DataProtection. Lancer sur chaque repository :

grep -r "Microsoft.AspNetCore.DataProtection" *.csproj
dotnet list package | grep DataProtection
docker image ls | grep -E "aspnet:10|dotnet:10"

Produire un tableau : service, version .NET, version DataProtection, stockage Key Ring (filesystem, Azure Key Vault, HashiCorp Vault, Redis), pipeline CI/CD. Ce tableau devient le document de reference pour les reportings ANSSI et ACPR. Publier via un wiki interne et un Confluence avec tags criticite NIS2.

— Etape 2 : upgrade vers 10.0.7 sur toute la chaine

Modifier la reference NuGet dans chaque csproj :

<PackageReference Include="Microsoft.AspNetCore.DataProtection" Version="10.0.7" />

Puis dotnet restore, lancer la suite de tests unitaires et d integration, deployer en staging, monitor 30 minutes, pusher en production. Piege observe sur 40 pourcent des stacks clients : des dependances transitives ne sont pas epinglees et restent a la version vulnerable. Verifier avec dotnet list package --vulnerable --include-transitive et forcer l override si necessaire.

— Etape 3 : basculer vers Azure Key Vault ou HashiCorp Vault souverain

Si votre Key Ring est actuellement sur filesystem local ou dans Redis non-chiffre, c est le moment de basculer vers un stockage chiffre et gere. Pour Azure Key Vault region France Central :

builder.Services.AddDataProtection()
    .PersistKeysToAzureBlobStorage(blobClient)
    .ProtectKeysWithAzureKeyVault(keyVaultKeyUri, credential)
    .SetDefaultKeyLifetime(TimeSpan.FromDays(60))
    .SetApplicationName("MonApp");

Pour les banques avec contraintes SecNumCloud et souverainete stricte : HashiCorp Vault self-hosted sur OVHcloud Roubaix ou Scaleway Ile-de-France, TLS Mutual Authentication avec certificats internes. Les integrateurs chez Plug-Tech sur le deploiement cloud souverain appliquent les memes regles sur les deploiements Bedrock.

— Etape 4 : rotation coordonnee Key Ring avec chevauchement

La rotation se fait via l API IKeyManager. Ajouter un nouveau Key avec activation immediate, attendre 6-24 heures selon la criticite du service, puis revoker les anciens. En banque, planifier cette operation un dimanche soir entre 22h et 02h pour minimiser l impact. Communiquer 72 heures a l avance aux utilisateurs finaux si un re-login force est attendu.

Cas microservices : tous les pods doivent observer le meme Key Ring. Garantir la propagation via polling Key Vault toutes les 60 secondes ou force rolling restart. Piege : un service en cache long (Redis distribue) peut continuer a servir l ancien key une heure apres la rotation.

— Etape 5 : revocation des tokens fabriques pendant la fenetre

C est l etape oubliee par la plupart des equipes. Tous les tokens emis entre le release 10.0.0 et le deploiement de 10.0.7 doivent etre consideres comme potentiellement compromis. Concretement :

• — Terminer toutes les sessions actives et forcer re-login.
• — Invalider tous les password reset links de la periode.
• — Rotater toutes les API keys.
• — Revoker et reemettre tous les OAuth refresh tokens.
• — Regenerer les MFA backup codes pour tous les comptes admin.

— Etape 6 : monitoring et alerting sur anomalies DataProtection

Instrumenter avec OpenTelemetry ou Azure Monitor pour detecter : failed HMAC validations (doit etre a zero apres patch), erreurs antiforgery, pics de re-auth apres rotation, authentications depuis geolocalisations inhabituelles. Alertes niveau severite 2 sur PagerDuty ou OpsGenie.

Pour une ETI francaise, Datadog est le plus rapide a configurer. Pour une banque regulee ACPR, Splunk ou IBM QRadar integres au SOC interne. Les tendances post-CVE sont documentees par nos confreres chez d-open.org sur l observabilite OpenTelemetry.

— Etape 7 : Red Team trimestriel et hygiene Key Ring continue

Une rotation apres CVE ne remplace pas un cycle recurrent. Mettre en place : rotation automatique tous les 60 jours (banques) ou 90 jours (ETI) via SetDefaultKeyLifetime. Red Team trimestriel avec scenarios de reuse d anciens tokens post-rotation. Audit Key Ring dans le pipeline CI/CD (check la version DataProtection, la presence d un Key Vault configure, l age du dernier Key actif).

Notre offre guide ANSSI hygiene informatique detaille les controles a realiser chaque trimestre. Pour les structures NIS2 et OIV, le sujet est a integrer au perimetre d audit NIS2.

— FAQ