Sécurité

• Toutes les communications passent en HTTPS (chiffrement en transit), avec HSTS (2 ans, sous-domaines inclus).
• En-têtes de sécurité sur toutes les pages : interdiction d’affichage dans un cadre (anti-clickjacking), nosniff, politique de référent stricte, restrictions d’accès à la caméra, au micro et à la géolocalisation, upgrade-insecure-requests.
• L’API applique des en-têtes de sécurité (Helmet) et n’accepte que les origines web autorisées (CORS).

• Les mots de passe sont hachés avec bcrypt ; ils ne sont jamais stockés en clair.
• Jetons d’accès courts (15 minutes) et jetons de renouvellement stockés uniquement sous forme d’empreinte, révoqués à la déconnexion.
• Cookies de session signés, HttpOnly, SameSite=Lax et Secure en production.
• Vérification de l’adresse e-mail, alertes de sécurité par e-mail (par exemple lors de la liaison d’un compte Google).
• Un compte suspendu ou supprimé perd son accès en moins d’une minute, même avec un jeton encore valide.

• Limitation du débit (rate limiting) sur toute l’API, renforcée sur la connexion, l’inscription et la réinitialisation du mot de passe.
• Contrôle des rôles et de la propriété de chaque ressource côté serveur ; validation stricte des données reçues.
• Documents conservés dans un stockage privé, accessibles uniquement via des liens signés à durée limitée ; taille des fichiers limitée à 10 Mo.
• Journal d’audit des actions d’administration sensibles (avec motif obligatoire) ; le mode « voir en tant que » du support est en lecture seule.
• Suivi des erreurs avec masquage des données personnelles.

Le site, l’API et la base de données sont hébergés chez des prestataires professionnels (Vercel, Render, Neon) listés dans les mentions légales, qui assurent la sécurité physique de leurs centres de données. Les secrets techniques (clés, mots de passe de service) sont stockés dans les variables d’environnement de ces plateformes, jamais dans le code.

Vous pensez avoir trouvé une faille ? Écrivez à security@interuni.fr avec une description, les étapes pour la reproduire et son impact potentiel. Notre fichier security.txt reprend ces informations.

• Nous accusons réception sous 5 jours ouvrés et vous tenons informé de la correction.
• Agissez de bonne foi : n’accédez pas aux données d’autres utilisateurs au-delà du strict nécessaire, ne les modifiez pas, ne dégradez pas le service (pas de déni de service, d’ingénierie sociale ni de spam).
• Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.
• Nous n’engagerons pas de poursuites contre une recherche menée de bonne foi dans ce cadre. Nous ne proposons pas de prime pour le moment, mais remercions volontiers les chercheurs qui le souhaitent.