Sécurité et limitation du débit
Protection contre les abus
L’inscription, la connexion, la réinitialisation du mot de passe, le déverrouillage des pages de statut et l’abonnement par email sont limités par adresse email ou par page, et par adresse du protocole Internet (IP) du client. Après trop de tentatives, l’action est bloquée pendant 10 minutes, puis 1 heure, puis 1 jour. Pour la connexion et le déverrouillage, seules les tentatives échouées comptent. Les compteurs sont remis à zéro après 24 heures sans tentative.
L’inscription et l’abonnement par email exigent aussi un captcha à preuve de travail qui s’exécute dans votre navigateur.
L’inscription, la réinitialisation du mot de passe, les invitations et le désabonnement répondent de la même façon, que l’adresse existe ou non.
Comment les données sont protégées
| Données | Protection |
|---|---|
| Mots de passe des comptes et des pages de statut | Stockés sous forme de hachages BCrypt. |
| Clés de l’interface de programmation (API) | Stockées sous forme de hachages SHA-256 et affichées une seule fois. |
| Jetons des liens secrets | 256 bits d’aléa. |
| Messages de statut | Le Markdown est réduit aux titres, aux emphases, aux listes, aux citations et au code. Les liens, les images et le HTML sont supprimés. |
| Moniteurs | Les requêtes vers des adresses de bouclage, privées et internes sont bloquées, y compris après des changements du système de noms de domaine (DNS). |
Dans le navigateur
Les formulaires utilisent des jetons Cross-Site Request Forgery (CSRF). Les pages sont servies avec un en-tête Content-Security-Policy, un en-tête Strict-Transport-Security et une politique de référent stricte.
Isolation entre les services
Chaque page du back-office vérifie que vous êtes membre du service et que votre rôle autorise l’action. Les pages d’un autre service répondent par 403 ou 404.