Sécurité

Tout le trafic passe en HTTPS/TLS. L'application tourne sur Vercel ; la base de données est PostgreSQL sur Neon (serverless, région UE — eu-central-1) ; les fichiers (voix off, vidéos, logos téléversés) sont stockés sur Vercel Blob. Aucune donnée client n'est stockée en dehors de ces prestataires.

Les mots de passe sont hachés avec bcrypt et jamais stockés ni journalisés en clair. Une authentification à deux facteurs optionnelle (TOTP, avec codes de secours à usage unique) est disponible pour les comptes identifiants. La connexion est limitée par adresse IP et verrouille un compte après plusieurs échecs répétés ; l'inscription est limitée par IP. Les adresses email sont masquées dans les journaux applicatifs.

Les clés API, les tokens de réinitialisation de mot de passe et de vérification d'email sont stockés uniquement sous forme de hachage SHA-256 — jamais sous une forme relisible, même par nous. Les logos SVG téléversés (marque blanche) sont assainis avant usage pour retirer tout script embarqué. Supprimer ton compte supprime tes projets, le contenu généré et les fichiers ; un export de données en libre-service (Réglages → Télécharger mes données) couvre la portabilité RGPD.

Chaque réponse porte des en-têtes de sécurité : une Content-Security-Policy restrictive, X-Frame-Options (protection contre le clickjacking), nosniff, une Referrer-Policy stricte et une Permissions-Policy qui désactive par défaut l'accès caméra/micro/géolocalisation/paiement. Chaque route API exige une authentification, sauf l'inscription, le callback d'auth et le webhook Stripe (qui vérifie sa signature à la place).

Les erreurs sont capturées en production via Sentry (région UE). Les comptes Agency disposent d'un journal d'audit complet des changements d'équipe, de clés API et de branding, visible dans les Réglages.

Nous publions un Accord de traitement des données (DPA) en complément de notre Politique de confidentialité. Tu peux exporter ou supprimer tes données à tout moment depuis les Réglages. À noter : l'entité qui publie ce service est une société hors UE qui n'a pas encore désigné de représentant UE formel (Art. 27 RGPD) pour les personnes concernées en UE — un manque connu, assumé, qu'on est en train de régler, pas quelque chose qu'on cherche à masquer.

Tu as trouvé un problème de sécurité ? Écris à hello@sniplyx.com avec les détails — on lit chaque message et on te répond directement. Merci de ne pas tester sur les comptes ou données d'autres utilisateurs ; utilise ton propre compte de test.