Sécurité

Les communications sont destinées à être réalisées exclusivement via HTTPS en production.

Les accès administrateurs sont protégés par une authentification serveur.

Les routes sensibles ne reposent jamais uniquement sur un contrôle visuel de l’interface.

Les paiements sont exclusivement traités via Stripe.

Les captures et annulations d’autorisations sont réalisées côté serveur.

Le navigateur ne décide jamais du statut final d’un paiement.

Les secrets techniques utilisés par la Guest App ne sont jamais transmis au navigateur.

Cela concerne notamment les clés API, secrets Stripe, secrets Brevo, secrets de session, clés serveur Supabase et informations internes de sécurité.

Les journaux techniques sont limités aux informations nécessaires au diagnostic et à la sécurité.

Ils ne doivent jamais contenir de numéro complet de carte bancaire, secret API, mot de passe, cookie de session ou donnée inutilement sensible.

Les mesures de sécurité sont susceptibles d’évoluer afin de suivre les bonnes pratiques techniques, réglementaires et opérationnelles.