Aller au contenu principal

Sécurité et vie privée

Cette page décrit des mesures réellement en place. Nous préférons être précis plutôt que rassurants.

Vos montants sont chiffrés​

Chaque compte possède sa propre clé de chiffrement, générée aléatoirement à l'inscription. Tout ce qui touche à l'argent est chiffré avec elle avant d'être écrit en base : montants, soldes, libellés, objectifs d'épargne.

L'algorithme est AES-256-GCM, un standard qui garantit à la fois la confidentialité et l'intégrité. Une donnée modifiée est détectée, elle n'est pas acceptée en silence.

Vos mots de passe ne sont jamais stockés​

Ils passent par Argon2id, avec 64 Mo de mémoire et 3 itérations. Cette lenteur volontaire rend les attaques par force brute coûteuses. Même en cas de fuite de la base, les mots de passe ne sont pas exploitables tels quels.

L'interface d'administration ne voit pas vos finances​

Elle ne manipule que des métadonnées : dates, compteurs, état du compte. Aucune de ses fonctions ne permet de lire les données financières d'un autre utilisateur.

Nous restons mesurés sur cette affirmation. C'est une propriété de l'application, pas une garantie cryptographique absolue face à quelqu'un qui disposerait d'un accès complet au serveur. Nous préférons le dire que de laisser croire à davantage.

Votre session​

L'authentification repose sur des cookies httpOnly. Le JavaScript de la page ne peut pas les lire, ce qui neutralise toute une classe d'attaques.

Chaque session est enregistrée côté serveur et peut donc être révoquée. Un jeton seul ne suffit pas. Les jetons sont renouvelés régulièrement et une session finit toujours par expirer, même utilisée quotidiennement.

Vous choisissez sa durée à la connexion : 7, 30 ou 90 jours.

Contre les abus​

  • 10 tentatives de connexion par quart d'heure, puis blocage temporaire.
  • Limitation de débit sur l'ensemble de l'API.
  • Protection CSRF sur toute action modifiant vos données.
  • Vérification systématique de propriété : chaque accès à une ressource contrôle qu'elle vous appartient.

Vos droits​

  • Exporter vos données à tout moment, dans un format lisible.
  • Supprimer votre compte définitivement, avec toutes vos données.
  • Aucun traceur, aucune publicité, aucune revente.

Signaler une faille​

Une vulnérabilité à nous remonter ? Écrivez à contact@financemate.fr. Nous répondons, nous corrigeons, et nous créditons volontiers qui le souhaite.

Merci de nous laisser un délai raisonnable avant toute publication.