Sécurité

Toutes les communications entre votre navigateur et VitaPulse sont chiffrées via TLS (HTTPS). Les mots de passe sont hachés avec bcrypt avant stockage — nous ne stockons jamais de mots de passe en clair. Les cookies de session sont configurés en HTTP-only et SameSite pour prévenir les attaques cross-site.

Vos données sont stockées dans des bases MongoDB hébergées en Europe. Nous collectons uniquement les données minimales nécessaires au service : votre email, mot de passe haché et résultats de audits. Les données d'audit vous appartiennent — nous ne les utilisons jamais pour la publicité, l'analyse ou tout autre usage que la délivrance de vos résultats d'audit.

Chaque endpoint API est protégé par un middleware d'authentification. Toutes les actions sont vérifiées pour la propriété — vous ne pouvez accéder qu'à vos propres projets et audits. L'accès des associés est strictement limité aux projets partagés avec des permissions en lecture seule sur les paramètres. Le rate limiting protège tous les endpoints contre les abus.

VitaPulse applique les bonnes pratiques de sécurité de l'industrie : en-têtes de sécurité HTTP via Helmet (CSP, HSTS, X-Frame-Options), validation des entrées et échappement HTML sur tous les inputs utilisateur, CORS restreint aux domaines autorisés, et rate limiting par catégorie d'endpoint (authentification, audits, API générale).