À propos
Sécurité
Les mesures qui protègent MyEASOKO, les résultats des derniers contrôles et les risques connus.
- Mis à jour le
Mesures en place
- Connexion chiffrée (HTTPS) de bout en bout, avec HSTS en production, derrière Cloudflare en mode « Full (strict) ».
- Politique de sécurité du contenu (CSP) avec un jeton aléatoire par requête pour les scripts, aucune intégration de la plateforme dans un site tiers (frame-ancestors).
- En-têtes de protection : X-Content-Type-Options, Referrer-Policy, Permissions-Policy (caméra, micro, géolocalisation désactivés), Cross-Origin-Opener-Policy.
- Mots de passe chiffrés (bcrypt), sessions stockées côté serveur, cookies HttpOnly et Secure, protection CSRF sur tous les formulaires.
- Administration réservée aux comptes habilités, avec des rôles (administrateur, éditeur, relecteur, point focal) et un journal des modifications.
- Limitation du débit sur l'API publique, le formulaire de contact et l'assistant.
- Clés d'API stockées uniquement sous forme d'empreinte SHA-256.
- Statistiques de fréquentation sans cookie ni donnée personnelle.
- Sauvegarde quotidienne de la base et des fichiers, avec un test de restauration automatique chaque jour.
- Dépendances PHP et JavaScript contrôlées contre les bases de vulnérabilités connues.
Derniers contrôles
Contrôles du 22 septembre 2026
- composer audit (dépendances PHP) : aucune vulnérabilité connue.
- npm audit --omit=dev (dépendances JavaScript) : aucune vulnérabilité connue.
- Contrôle automatique des en-têtes et des erreurs de configuration courantes (fichiers .env et .git inaccessibles, pas de listage de répertoires, cookies protégés) : voir le détail dans la documentation technique.
- Analyse OWASP ZAP (baseline) : à exécuter sur le serveur de production, commande fournie dans la documentation.
Test de charge
Un test indicatif à faible charge a été mené sur un poste de développement. Le test complet (montée à 100 utilisateurs simultanés) est à exécuter sur le serveur de production avant l'ouverture, avec les scripts k6 fournis.
Risques acceptés
- La politique CSP autorise l'évaluation de code ('unsafe-eval') car la bibliothèque d'interface Alpine en a besoin. Les scripts restent limités au site lui-même et aux blocs portant le jeton de la requête.
- Les styles en ligne sont autorisés ('unsafe-inline' pour les styles) pour les couleurs du thème et certains composants. Ce réglage ne permet pas d'exécuter du code.
- L'administration utilise une politique CSP plus souple (scripts en ligne autorisés) : elle n'est accessible qu'aux comptes habilités.
- Les montants du simulateur et certaines données sont indicatifs : ils sont signalés comme tels sur chaque page.
Information :
Signaler une vulnérabilité
Si vous pensez avoir trouvé une faille, écrivez-nous par le formulaire de contact en indiquant « Sécurité » dans l'objet. Merci de ne pas publier le problème avant sa correction.
Écrire à l'équipe