Sécurité : HeartCo Starter
Auditée, pas seulement annoncée.
Audit sécurité complet : OWASP Top 10, IDOR, XSS, CSRF, injection, isolation multi-tenant. Chaque faille identifiée, documentée et résolue.
Catégories de vulnérabilités corrigées
8 vecteurs d'attaque audités, chacun documenté et corrigé.
IDOR
Isolation des ressources par organizationId dans chaque query Prisma
XSS
Sanitisation des inputs, Content Security Policy, headers sécurisés
Auth & Session
NextAuth v5, CSRF tokens, session rotation, secure cookies
Injection SQL
Prisma ORM paramétré, zéro raw query non sanitisée
RBAC & Permissions
Matrice de permissions granulaire, staffProcedure minimum
Multi-tenant
Prisma $extends avec organizationId auto-filter
Crypto & HMAC
timingSafeEqual pour les webhooks, bcrypt pour les passwords
Rate Limiting
Rate limiter fail-closed en production, par route et par IP
Nos pratiques de sécurité
Des règles strictes appliquées sur chaque ligne de code.
Tout update/delete Prisma inclut organizationId dans le WHERE
findFirst (jamais findUnique) pour les ressources scopées organisation
TRPCError systématique (jamais throw new Error)
IDOR → NOT_FOUND (pas FORBIDDEN) pour éviter la fuite d'information
Webhook HMAC avec crypto.timingSafeEqual
Rate limiting fail-closed en production
Tests de sécurité automatisés (pnpm test:security)
Dépendances auditées (npm audit, Snyk)
Couverture OWASP Top 10
10/10 catégories couvertes. Zéro angle mort.
La sécurité n'est pas une feature.
C'est un prerequis.