Sécurité de la plateforme

Les opérations sensibles utilisent des fournisseurs établis, les décisions d'accès se prennent côté serveur et les sources privées restent hors des dossiers web publics. Aucun service en ligne n'est sans risque, mais des contrôles superposés réduisent l'exposition.

• Stripe traite cartes, reçus, remboursements et fraude ; NextPrep Academy ne stocke ni numéro complet ni CVC.
• Le checkout part d'une session authentifiée et les événements sont rapprochés par des webhooks Stripe signés.
• Firebase gère mot de passe et OAuth. La session utilise un cookie httpOnly, des jetons hachés côté serveur, une expiration automatique et éventuellement la vérification email.

• Les sources privées des cours sont hors du répertoire public ; les API authentifiées vérifient session et droit avant de renvoyer les pages.
• Les données de production utilisent Firebase et Google Cloud configurés, avec les opérations Firebase Admin privilégiées uniquement côté serveur.
• Les réponses sensibles utilisent un cache privé no-store si nécessaire, les changements vérifient l'origine et les fonctions abusables appliquent des limites de taille et fréquence.

• L'idempotence des webhooks réduit les effets doublons, les secrets restent dans les variables d'environnement et les journaux se limitent aux besoins du service et incidents.
• Utilisez un mot de passe unique, sécurisez email et OAuth, ne partagez ni compte ni contenu privé et signalez vite toute activité ou débit inattendu.

Ces contrôles ne garantissent pas un service continu, sans vulnérabilité ou à l'abri de tout accès non autorisé. Un signalement responsable doit donner assez de détails sans accéder aux données d'autres utilisateurs.

Pour signaler un problème de sécurité, contactez support@nextprep.academy.