Sécurité

Ce site

• HTTPS obligatoire avec HSTS ; aucun contenu servi en clair.
• Politique de sécurité du contenu (CSP) stricte avec jeton unique par page : seuls nos propres scripts s'exécutent.
• Protection contre le clickjacking : le site ne peut pas être affiché dans le cadre d'un autre site.
• Aucun script, traceur ou police chargé depuis un service tiers.
• Formulaire de contact protégé : validation stricte côté serveur, contrôle d'origine, limite de débit et piège anti-robots.
• Dépendances figées, auditées et mises à jour régulièrement.

La plateforme et l'API

La plateforme est conçue selon le Top 10 de l'OWASP et les recommandations de Meta :

• chiffrement des échanges (TLS) et des secrets au repos ;
• clés d'API stockées sous forme hachée, révocables, avec droits limités ;
• vérification de la signature des webhooks Meta avant tout traitement ;
• cloisonnement strict des données de chaque client ;
• accès d'administration limités, nominatifs, protégés par une double authentification et journalisés ;
• sauvegardes chiffrées et procédure de réponse aux incidents.

Signaler une faille

Vous pensez avoir trouvé une vulnérabilité ? Écrivez à securite@ekora.africa en décrivant le problème, les étapes pour le reproduire et son impact. Notre fichier security.txt est publié à l'adresse /.well-known/security.txt.

• Nous accusons réception sous 3 jours ouvrés [à valider] et vous tenons informé de la correction.
• Agissez de bonne foi : n'accédez pas aux données d'autrui, ne modifiez et ne supprimez rien, n'entravez pas le service, et laissez-nous le temps de corriger avant toute publication.
• Dans ce cadre, nous n'engagerons pas de poursuites contre vous.

Nous ne proposons pas encore de programme de récompense.