Sécurité

Mots de passe et connexion

• Votre mot de passe n’est jamais enregistré en clair : nous n’en gardons qu’une empreinte bcrypt (coût 12).
• Les mots de passe trop courts ou parmi les plus courants (« 123456 », « password »…) sont refusés.
• Un compte créé avec une adresse e-mail ne s’ouvre qu’après la saisie du code à 8 caractères envoyé à cette adresse.
• La connexion avec Google n’est acceptée que si Google a vérifié votre adresse e-mail.
• Après plusieurs mots de passe erronés de suite, la connexion au compte est bloquée temporairement.
• Les tentatives de connexion, d’inscription et de réinitialisation du mot de passe sont limitées par adresse e-mail.
• L’inscription et le mot de passe oublié répondent de la même façon, que l’adresse ait un compte ou non : impossible de s’en servir pour savoir qui est client.

Sessions

• Une fois connecté, votre session tient dans deux cookies : un jeton d’accès valable 15 minutes, renouvelé automatiquement par un jeton de 7 jours.
• Ces cookies sont « httpOnly » (le code des pages ne peut pas les lire) et « Secure » (envoyés uniquement en HTTPS).
• Chaque action qui modifie vos données doit présenter un jeton anti-falsification (CSRF), que le serveur compare à celui de votre cookie.
• Changer ou réinitialiser votre mot de passe ferme les sessions ouvertes sur vos autres appareils : elles sont refusées dès leur requête suivante.

Site et navigateur

• L’en-tête HSTS demande aux navigateurs de n’ouvrir le site qu’en HTTPS (connexion chiffrée), pendant deux ans, sous-domaines compris.
• Nos pages refusent d’être affichées à l’intérieur d’un autre site (X-Frame-Options), ce qui bloque les pièges au clic.
• Les images envoyées (photos de produits, logos) sont vérifiées sur leur contenu réel, pas seulement sur leur nom ou leur type déclaré.

Vos données, votre boutique

• Chaque boutique est cloisonnée : le serveur retrouve votre boutique à partir de votre compte et ne sert que ses données. Une donnée d’une autre boutique répond « introuvable ».
• Les vendeurs n’ouvrent ni le tableau de bord ni les rapports : ces écrans et leurs données sont réservés au Patron et au Gérant.
• Le journal Archives garde la trace des suppressions, annulations et modifications importantes (qui, quoi, quand) ; seul le Patron le consulte.
• Dans l’outil d’administration de Sahilley, chaque modification est inscrite dans un journal d’audit (qui, quoi, quand).
• Les liens de reçu partagés (WhatsApp…) contiennent une clé aléatoire de 96 bits : ils ne peuvent pas être devinés.

Mode hors ligne

• Sans réseau, l’application garde sur l’appareil une copie des données de votre boutique pour que vous puissiez continuer à vendre.
• Chaque opération faite hors ligne porte un identifiant unique : à la synchronisation, le serveur ne l’enregistre qu’une fois, même si elle arrive deux fois.
• Hors ligne, l’application vous reconnaît au plus 7 jours après votre dernier passage en ligne ; ensuite, il faut se reconnecter.
• Si un autre compte se connecte sur le même appareil, la copie locale du compte précédent est effacée avant tout affichage.

Ce que nous ne faisons pas encore

• Pas de double authentification (code supplémentaire à la connexion).
• Les données gardées sur l’appareil pour le mode hors ligne n’y sont pas chiffrées par l’application : protégez votre téléphone par un code de verrouillage.
• Pas encore de politique de sécurité du contenu (CSP), une protection supplémentaire contre l’injection de scripts.
• Pas encore de procédure écrite et testée de restauration des sauvegardes.
• Pas de certification de sécurité ni d’audit par un organisme indépendant.

Signaler une faille

Vous pensez avoir trouvé une faille de sécurité ? Écrivez-nous à contact@sahilley.com ou sur WhatsApp au +235 66 05 01 57, et laissez-nous le temps de la corriger avant d’en parler publiquement.