Pratiques de sécurité

Des contrôles conçus pour l’isolation des comptes, la propriété des clés et l’exactitude comptable.

Authentification et clés

Connectez-vous avec une clé de compte générée à seize chiffres ou avec un e-mail et un mot de passe. Les clés de compte sont affichées une seule fois, ne peuvent pas être récupérées et sont distinctes des clés API. Les sessions du tableau de bord utilisent des cookies HttpOnly et des vérifications d’origine. Les requêtes API publiques nécessitent des clés API cryptographiques distinctes. Les clés API brutes sont affichées une seule fois et stockées sous forme d’empreintes. Les actions d’administration exigent une autorisation de rôle et la MFA.

Intégrité financière

D1 est la source faisant autorité pour les soldes et le registre comptable. Les écritures transactionnelles conditionnelles et les Durable Objects par compte protègent les réservations et le règlement. Des références financières uniques empêchent la répétition des débits et des crédits. Les montants liés à une utilisation incertaine restent réservés pour examen.

Données minimales

Les enregistrements d’activité excluent les prompts, les réponses, les charges utiles d’outils et les en-têtes d’autorisation. La journalisation des corps et le traçage des Workers sont désactivés. Aucun traceur publicitaire n’est intégré.

Signaler un problème

Signalez les vulnérabilités présumées via le contact de sécurité publié par l’opérateur. Incluez une description concise, le point de terminaison concerné et des étapes de reproduction sûres. N’accédez pas aux données d’autres clients et ne divulguez pas de secrets.

Mis à jour le 1 novembre 2026.