← Retour à l’accueil

Mis à jour : 3 octobre 2026

Sécurité : les preuves

Dire « c’est sécurisé » est facile. Voici les résultats de scanners indépendants que chacun peut refaire, ce que protège le système clients et comment nous le vérifions.

Résultats de scanners indépendants

Nous avons vérifié ce site avec trois scanners publics le 3 octobre 2026. Touchez chaque lien pour relancer le test maintenant : le résultat vient du scanner, pas de nous.

Préstamos Clover et Spanish with Emi, deux sites que nous avons réalisés avec le même système, ont obtenu les mêmes notes le même jour.

Et votre site ? Vérifiez-le gratuitement avec Mozilla HTTP Observatory (en espagnol) →

Ce que protège le système clients

L’OWASP Top 10 est la liste des risques les plus courants dans les applications web. Voici comment le système que nous installons (panneau, Espace client et formulaires) couvre chacun d’eux :

Contrôle d’accès

Chaque action est autorisée sur le serveur selon les permissions de la personne ; chaque client ne voit que ses propres données (avec des tests automatiques qui tentent de lire les données d’un autre client) ; les sessions peuvent être fermées depuis le serveur.

Cryptographie

HTTPS obligatoire avec HSTS ; mots de passe stockés sous forme de hash avec Argon2id ou bcrypt ; la clé de la vérification en deux étapes est stockée chiffrée ; les codes d’activation sont stockés sous forme de hash.

Injection (SQL et XSS)

Toutes les requêtes à la base de données utilisent des requêtes préparées ; tout ce qui est affiché est échappé ; une politique de sécurité du contenu (CSP) avec nonce ou hash ne laisse s’exécuter que les scripts du site, sans scripts injectés ni attributs onclick.

Conception sécurisée

Jetons CSRF sur chaque formulaire et contrôle de l’origine (Origin et Sec-Fetch-Site) ; codes à usage unique qui expirent ; pour les actions sensibles, le mot de passe est redemandé (supprimer des clients, télécharger des sauvegardes) et, pour gérer les utilisateurs, aussi le code en deux étapes.

Configuration

Seuls les fichiers autorisés peuvent s’exécuter ; les données sont hors du dossier public du site ; en-têtes de sécurité complets ; les erreurs ne sont jamais montrées aux visiteurs ; la construction du site s’arrête si elle trouve quelque chose de dangereux.

Composants

Aucun framework ni plugin tiers sur le serveur ; les deux bibliothèques utilisées par le panneau (graphiques et code QR) sont chargées avec vérification d’intégrité (SRI).

Identification et authentification

Vérification en deux étapes obligatoire pour l’équipe ; limites de tentatives de connexion par IP et par compte ; même réponse que l’utilisateur existe ou non ; cookies __Host- sécurisés, sessions en mode strict qui expirent après 30 minutes d’inactivité ou au bout de 12 heures.

Intégrité des données et des fichiers

Les fichiers téléversés sont validés selon leur contenu réel, stockés sous un nom aléatoire hors du site et servis de façon à ne pas pouvoir s’exécuter ; les propositions de design s’ouvrent isolées (sandbox), sans accès à la session de l’Espace client.

Journalisation et surveillance

Journal de sécurité des connexions, tentatives échouées, accès refusés et modifications ; alertes dans le panneau s’il manque une sauvegarde ou si un administrateur n’a pas activé la vérification en deux étapes.

Requêtes côté serveur (SSRF)

Le système ne télécharge jamais d’adresses envoyées par un utilisateur.

En plus : sauvegardes automatiques chaque jour où le panneau est utilisé, statistiques internes sans cookies ni IP conservées, et un fichier security.txt pour signaler les problèmes.

Comment nous le vérifions

Aucun système n’est invulnérable : c’est pourquoi nous mesurons, révisons et publions les résultats pour que vous puissiez les vérifier.

Vous avez trouvé un problème ?

Si vous trouvez une faille de sécurité, prévenez-nous de manière responsable avant de la publier : les coordonnées sont dans /.well-known/security.txt, ou écrivez à info@paginasclover.com. Nous vous répondrons et la corrigerons au plus vite.

Ce que le système conserve et pendant combien de temps figure dans la Politique de confidentialité.