> ## Documentation Index
> Fetch the complete documentation index at: https://devdocs.xbox.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Bonnes pratiques de sécurité des communications

> Exigences de confidentialité, d'intégrité et d'authentification pour sécuriser toutes les communications réseau du jeu, avec des recommandations sur le chiffrement, le hachage et la confidentialité des adresses IP.

<Note>
  Ces bonnes pratiques sont fournies à titre de références exemplaires. Évaluez vos implémentations de manière indépendante.
</Note>

Sécuriser toutes les communications réseau, quels que soient le canal ou le contenu, est un moyen relativement simple mais essentiel d'améliorer la sécurité globale du jeu. Cela limite les vecteurs d'attaque contre la logique du jeu, les services et les données utilisateur.

Ces trois propriétés doivent toutes être respectées. L'absence de l'une d'entre elles entraîne une communication non sécurisée :

* **Confidentialité**
* **Intégrité**
* **Authentification**

Par exemple, une communication confidentielle avec intégrité mais sans authentification permet à un attaquant d'usurper l'identité d'un utilisateur, d'un appareil ou d'un service, ce qui invalide les autres protections. Ne sécuriser qu'une partie d'un message ou qu'un sous-ensemble du flux invalide également les protections.

## Confidentialité

Protège la communication contre l'observation externe, en limitant la visibilité aux partenaires participants. Elle est obtenue par le chiffrement des messages à l'aide d'algorithmes et de chiffrements cryptographiques robustes. Seuls des messages fortement chiffrés garantissent que seuls les détenteurs des clés de chiffrement/déchiffrement peuvent les lire ou les produire ; **le partage des clés est donc étroitement lié à l'authentification**.

La confidentialité de l'adresse IP des joueurs est également importante. Acheminez les communications via des serveurs dédiés ou des relais afin qu'un canal direct unique (comme la conversation vocale) n'expose pas l'adresse IP d'un joueur.

## Intégrité

Détecte toute falsification pendant la transmission. Elle est obtenue par un hachage sécurisé des messages, associé à des numéros de séquence ou à des horodatages.

* Les hachages sécurisés créent un condensé du message qui révèle toute falsification.
* Les numéros de séquence et horodatages empêchent les attaquants de dupliquer et de rejouer des messages.

<Warning>
  Le chiffrement seul n'offre généralement **pas** de protection de l'intégrité. Même des messages fortement chiffrés ont été manipulés sans être détectés lors d'attaques connues.
</Warning>

Au-delà de l'intégrité des messages, validez l'**intégrité logique** : vérifiez si un message reçu ou une demande de service est valide dans l'état actuel du jeu (par exemple, ignorez silencieusement les mises à jour de vitesse d'un joueur qui dépassent les limites du jeu).

## Authentification

Valide de manière sécurisée l'identité des partenaires de communication et empêche l'usurpation d'identité. Elle est obtenue à l'aide de certificats vérifiables publiquement pour les services et de jetons d'authentification de la plateforme pour les clients.

* Exigez par défaut l'authentification de **tous** les partenaires de communication.
* Pour les données publiques en lecture seule (configuration, message du jour), il peut être acceptable de n'authentifier que le service d'origine, mais veillez à ne pas étendre ce modèle à d'autres cas.
* Les clients de jeu sur une plateforme de jeu doivent toujours utiliser des jetons d'authentification de la plateforme sécurisés. Les secrets codés en dur dans les clients sont insuffisants : les attaquants peuvent les deviner ou les extraire.
* Les jetons de service ou de compte du jeu sont également acceptables s'ils respectent les instructions relatives aux jetons sécurisés et sont émis **après** la validation du jeton de la plateforme.

## Documentation des API associées

* [Référence de l'API XCurl](/fr/reference/networking/xcurl/functions/xcurl_global_init_mem) : client HTTPS compatible TLS
* [Référence de libHttpClient](/fr/reference/live/httpclient/httpclient/httpclient_members) : transport HTTPS/WebSocket utilisé par XSAPI
* [Référence de l'API réseau](/fr/reference/networking/gc-reference-networking-toc) : Winsock et adresses d'appareil sécurisées
* [Référence de l'API XNetworking](/fr/reference/networking/xnetworking/xnetworking_members) : vérification des certificats et indications de connectivité
* [Référence REST de XSAPI](/fr/reference/live/rest/atoc-xboxlivews-reference) : appels authentifiés par XSTS vers les XBOX services

## Voir aussi

* [Implémentation de la communication de jeu sécurisée](/fr/build/game-principles/security/secure-communication-impl)
* [Requêtes web et WebSockets sécurisés](/fr/build/game-principles/security/secure-webrequest-impl)
* [Maillage de jeu sécurisé](/fr/build/game-principles/security/secure-game-mesh-impl)
* [Exemples de communication sécurisée](/fr/build/game-principles/security/secure-samples)
* [Microsoft Security Development Lifecycle (SDL)](https://www.microsoft.com/en-us/securityengineering/sdl/)
* [Vue d'ensemble de la mise en réseau](/fr/build/console-features/networking/index)


## Related topics

- [Répertoire des rubriques NDA : liens actifs vers Microsoft Learn](/fr/nda/nda-topic-directory.md)
- [XR-014 Données des joueurs et informations personnelles](/fr/publishing/certification/xr/xr-014.md)
- [XR-047 Accès au profil utilisateur](/fr/publishing/certification/xr/xr-047.md)
- [XR-013 Liaison des comptes Microsoft avec les comptes d'éditeur](/fr/publishing/certification/xr/xr-013.md)
- [XR-115 Ajout et retrait d'utilisateurs ou de manettes pendant le jeu](/fr/publishing/certification/xr/xr-115.md)