Node.js 26.3 : examiner les permissions applicatives
Une évolution du runtime
Le 1er juin 2026, Node.js 26.3.0, dans la branche Current, ajoute notamment permission.drop. Cette API mérite l’attention des équipes qui examinent les droits accordés à leurs applications.
Partir des besoins réels
Pour un service JavaScript, notre angle de lecture est concret : quels fichiers doit-il lire, où écrit-il et quels processus peut-il lancer ? Un inventaire de ces opérations est plus utile qu’une politique copiée sans connaître les dépendances.
Prenons un convertisseur de documents. Le chargement de sa configuration, le traitement d’un fichier et la production du résultat sont trois étapes différentes. Nous recommandons de noter les accès nécessaires à chacune avant d’expérimenter une restriction. Une bibliothèque peut aussi réaliser des opérations indirectes que le code métier ne montre pas immédiatement.
Vérifier les chemins d’erreur
Un essai pertinent comprend une entrée valide, un fichier absent et une opération interdite. Il faut examiner les messages retournés, la fermeture des ressources et les fichiers temporaires. La présence d’une API de permissions ne prouve, à elle seule, ni l’isolation complète du processus ni la compatibilité de l’application.
Veille rétrospective — juin 2026.