Sécurité

Les finances en location courte durée sont sensibles. Voici comment nous protégeons vos données.

En transit et au repos

Toutes les connexions sont en TLS 1.2+. Le stockage de la base de données et les sauvegardes sont chiffrés au repos avec les clés gérées du fournisseur. Les cookies de session utilisent les drapeaux HTTP-only et Secure.

Authentification

Les mots de passe sont hachés avec bcrypt. La connexion par lien magique est prise en charge. Les passkeys sont prévues. Les jetons de session sont renouvelés automatiquement et révoqués à la déconnexion.

Autorisation

Les contrôles d'accès sont appliqués au niveau de la base de données : une requête sur les données d'un autre utilisateur retourne zéro ligne même si la couche applicative a un bug. Les actions admin nécessitent un profil app_role = 'admin' et sont journalisées.

Pages de partage investisseur

Chaque lien de partage est un jeton aléatoire de 22 caractères. Les jetons sont le facteur d'authentification, donc toute personne avec l'URL peut lire le rapport. Vous pouvez révoquer un jeton (la page affiche un écran sympathique "n'est plus disponible") ou exiger un mot de passe.

Sauvegardes et récupération

La récupération à un point dans le temps est disponible pour les 7 derniers jours. Un snapshot quotidien complet est conservé pendant 30 jours. Nous testons les procédures de restauration trimestriellement.

Divulgation de vulnérabilités

Signalez les problèmes de sécurité à [email protected]. Nous accusons réception sous 48 heures et n'engageons pas d'action contre les chercheurs de bonne foi.