Comment split-cash protège vos données
L’argent entre amis, c’est personnel. Voici ce que fait split-cash pour le protéger, et la seule chose qu’il ne fait pas.
-
Connexions chiffrées
Chaque page et chaque requête passent par HTTPS. Le http simple est redirigé : rien ne circule en clair.
-
Stockage chiffré
Vos groupes, dépenses et photos sont stockés chez Cloudflare, qui les chiffre sur disque.
-
Les mots de passe ne sont jamais stockés
split-cash ne garde qu’un hachage salé de votre mot de passe (PBKDF2 avec SHA-256, 100 000 itérations). Personne ne peut le retrouver, nous compris.
-
Des sessions sous votre contrôle
La connexion place un jeton aléatoire dans un cookie que les scripts de la page ne peuvent pas lire ; le serveur n’en garde que le hachage. Les sessions inutilisées expirent après 30 jours, la déconnexion ferme celle de l’appareil, et changer de mot de passe déconnecte tous les autres appareils.
-
Deviner un mot de passe ne marche pas
Après 10 mots de passe erronés, la connexion pour cette adresse e-mail est bloquée pendant 15 minutes.
-
Groupes privés
Seuls les membres d’un groupe peuvent le voir. Les liens d’invitation sont de longs codes aléatoires, et vous pouvez remplacer un lien à tout moment pour que l’ancien cesse de fonctionner.
-
Photos protégées
Les photos de tickets et les images ne sont montrées qu’aux membres du groupe, jamais à une adresse publique.
-
Ni publicité, ni traqueurs, ni scripts externes
Il n’y a ni publicité ni traqueur tiers. Les polices et les scripts sont chargés depuis split-cash lui-même, et les requêtes venant d’autres sites sont refusées.
Ce que split-cash ne fait pas
split-cash n’est pas chiffré de bout en bout. Comme la plupart des applications web, le serveur lit les montants de vos groupes pour calculer les soldes. La personne qui gère split-cash peut accéder à la base de données pour faire fonctionner le service et répondre à vos demandes, et ne consulte pas vos groupes en dehors de cela.
Votre adresse e-mail n’est jamais montrée aux autres membres. La politique de confidentialité liste tout ce qui est stocké et explique comment le faire effacer.
Vous avez trouvé un problème ?
Si vous pensez avoir trouvé une faille de sécurité, écrivez à hello@split-cash.org . Vous recevrez une réponse, et un remerciement sur le blog si vous le souhaitez.