The RealReal est la plus grande place de marché en ligne au monde dédiée à la revente de produits de luxe authentifiés, avec plus de 40 millions de membres. Le site facilite la mise en vente, la fixation de prix optimaux et l’expédition pour les vendeurs, tandis qu’un processus d’authentification rigoureux garantit aux acheteurs de pouvoir acquérir en toute confiance des marques de mode exclusives, des bijoux haut de gamme et des œuvres d’art. The RealReal s’engage en faveur de la durabilité du marché de la revente : l’entreprise estime qu’à l’horizon 2025, ses utilisateurs auront évité 90 000 tonnes de CO₂ et économisé 4,9 milliards de litres d’eau en prolongeant la durée de vie d’articles fabriqués avec savoir-faire.
La sécurité sans obstacles : comment The RealReal protège ses utilisateurs sans freiner les développeurs
Le défi
Le marché des produits de luxe repose sur la confiance : les consommateurs s’attendent à ce que chaque maillon de la chaîne d’approvisionnement (matériaux, design, artisans, vendeurs) soit de la plus haute qualité. Que l’acheteur soit motivé par le prestige de la marque ou par un savoir-faire exceptionnel, la confiance est primordiale. En tant que revendeur en ligne, The RealReal doit relever le défi supplémentaire de garantir une expérience utilisateur toujours irréprochable et la sécurité des données des utilisateurs. Pour une grande plateforme de e-commerce confrontée à environ 31 000 attaques chaque mois, il n’y a absolument aucune marge d’erreur. Les acteurs malveillants et les bots perturbateurs doivent être efficacement bloqués tout en garantissant un accès fluide aux clients légitimes. Les développeurs ont besoin de flexibilité pour déployer instantanément des mises à jour et des modifications, afin de préserver l’agilité du site. Parallèlement, ces mesures de protection doivent être mises en œuvre sans surcharger ni submerger l’équipe de sécurité.
La solution
The RealReal a mis en place le CDN de Fastly, Next-Gen WAF et Bot Management afin d’offrir la sécurité, la performance et la facilité d’utilisation nécessaires pour relever les défis liés à son statut de détaillant de premier plan. Avant tout, The RealReal a pu recourir au blocage immédiat sans craindre de bloquer des utilisateurs légitimes. « Si un client achète un article haut de gamme, nous ne voulons pas perdre la vente à cause de faux positifs. Nous sommes convaincus que le trafic bloqué aujourd’hui par Fastly provient d’utilisateurs malveillants », a déclaré Alex Wang, ingénieure sécurité chez The RealReal. Tout aussi important, l’équipe de sécurité obtient ces résultats grâce à une solution facile à utiliser et compatible avec son pipeline CI/CD.
Une conception intuitive qui permet aux équipes de sécurité d’être opérationnelles immédiatement
La facilité d’utilisation immédiate a constitué un facteur de différenciation majeur entre Fastly Next-Gen WAF et les autres solutions WAF, dès la mise en service. The RealReal a connu un renouvellement complet de son équipe de sécurité de l’information en 2024, ce qui a nécessité l’intégration rapide de nouveaux ingénieurs sans perturber les opérations de sécurité. Kevin Ponds, directeur de la cybersécurité et de l’ingénierie chez The RealReal, attribue à Fastly le mérite d’avoir aidé l’équipe à rester sur la bonne voie. « Mettre une toute nouvelle équipe sur les rails a été un défi de taille, mais Fastly nous a facilité la tâche, a déclaré K. Ponds. Le Next-Gen WAF est une plateforme très intuitive et un outil très bien conçu », a-t-il ajouté.
Les capacités de détection sans réglage du moteur de détection SmartParse du WAF permettent d’éviter d’avoir à écrire des règles basées sur des expressions régulières. L’équipe a également tiré parti du générateur de règles de Fastly pour bloquer rapidement le trafic malveillant. « Le générateur de règles a permis à une nouvelle équipe, ne disposant pas d’expertise précise sur Fastly, de se lancer facilement, a déclaré A. Wang. Nous avons pu nous mettre au travail et commencer immédiatement à utiliser le WAF, tout en comprenant comment effectuer les configurations nécessaires ou des réglages supplémentaires. »
Une visibilité qui fournit des informations permettant des réponses rapides
A. Wang et K. Ponds s’accordent à dire que la visibilité intégrée au Next-Gen WAF a permis à l’équipe de sécurité d’être réactive dès le départ. L’approche basée sur les signaux facilite non seulement l’identification des attaques courantes et des requêtes de trafic anormales, mais permet également de créer des signaux personnalisés pour des usages métier spécifiques. « La clarté offerte par Fastly grâce à cette approche basée sur les signaux nous permet de déterminer facilement, à partir des requêtes, le type d’attaque auquel nous sommes confrontés, comme le cross-site scripting ou l’injection SQL », a précisé A. Wang.
De plus, les tableaux de bord générés par le système offrent une visibilité rapide et des informations sur des dizaines de facteurs de sécurité, tels que les anomalies de trafic, l’activité des bots ou les identifiants compromis. « La visibilité dont nous disposons nous aide à déterminer si un élément constitue réellement un problème de sécurité, a expliqué K. Ponds. Les tableaux de bord nous permettent de vérifier que nous bloquons bien ce qu’il faut et pas ce qui ne doit pas l’être. »
Des solutions intégrées qui mettent les développeurs et la sécurité sur la même longueur d’onde
La collaboration entre les développeurs et l’équipe de sécurité de l’information donne parfois lieu à un bras de fer concernant les priorités. Pour The RealReal, l’utilisation conjointe du CDN et des solutions de sécurité de Fastly a contribué à rapprocher les équipes, de sorte qu’il n’est pas nécessaire de sacrifier l’agilité au profit de la sécurité. Selon K. Ponds, « la combinaison des composantes WAF et CDN fait de Fastly un excellent choix pour nous ». L’équipe de sécurité est un partenaire étroit de l’équipe DevOps de The RealReal, partageant des informations sur le trafic qui présentent un intérêt tant pour la sécurité que pour les opérations.
Plus important encore, les développeurs peuvent déployer activement du nouveau code en production plusieurs fois par jour. Selon A. Wang, « Nous entretenons une relation sans heurts avec nos développeurs. J’ai travaillé dans d’autres entreprises où il était impossible de déployer rapidement sans avoir à demander une fenêtre de modification, puis à rester debout jusqu’à 22 h. Nous n’avons pas besoin de faire cela, car nous avons pleinement confiance dans les capacités de Fastly à protéger nos applications. » The RealReal tire également parti des intégrations natives pour garantir la transparence. « Avec de nombreux outils de sécurité, c’est comme une boîte noire pour toute personne ne faisant pas partie de l’équipe de sécurité. Avec Fastly, nous utilisons GitHub et le fournisseur Terraform afin que n’importe quel développeur puisse voir la configuration et les règles que nous avons mises en place », a déclaré A. Wang.
Principaux enseignements
The RealReal maintient la plateforme de haute qualité à laquelle s’attendent ses utilisateurs en s’appuyant sur des solutions qui concilient de manière transparente performances et sécurité sans surcharger son équipe de sécurité. Les capacités de blocage fiables, les outils intuitifs et la visibilité en temps réel de Fastly Next-Gen WAF garantissent aux acheteurs et vendeurs de produits de luxe une expérience fiable et sans faille qui les incite à revenir. Grâce à Fastly, qui assure à la fois la diffusion et la sécurité, les ingénieurs et développeurs de The RealReal peuvent déployer du code à la demande, innover plus rapidement et continuer à satisfaire les clients à chaque interaction.