Mots de passe
ImplémentéHash bcrypt coût 12. Migration progressive Argon2id planifiée.
SÉCURITÉ — MESURES ET LIMITES
Durci ne signifie pas invulnérable.
Cette page sépare ce qui est présent dans le portail, ce qui reste partiel et ce qui n’est pas encore revendiqué.
Sessions
ImplémentéJeton aléatoire, SHA-256 en base, cookie HttpOnly/Secure/SameSite.
Limitation des abus
ImplémentéConnexions, inscriptions, demandes pilotes et forum limités côté serveur.
CSRF
Implémenté v1.6.0Double jeton et contrôle d’origine pour les opérations d’écriture.
Conservation
Implémenté v1.6.0Purge configurée des comptes inactifs, demandes pilotes, consentements, sessions et tentatives.
En-têtes HTTP
PartielNosniff, anti-framing, Referrer-Policy et Permissions-Policy actifs ; CSP en observation.
Vérification e-mail
PlanifiéAdresse vérifiée avant droits communautaires étendus.
MFA administrateur
PlanifiéPasskey ou second facteur avant fonctions sensibles.
Audit externe
Non revendiquéAucun pentest indépendant publié à ce jour.
DIVULGATION RESPONSABLE
Signaler une vulnérabilité.
Contact prévu : mickael@hexaos.org. Première réponse visée : 96 heures.