Sécurité
Depuis le premier jour, LPIC.cc traite la sécurité et la confidentialité comme des principes de conception fondamentaux, et non comme une rustine ajoutée après coup. Voici un aperçu des protections qui tournent en continu en production.
Mesures de sécurité clés
HTTPS sur l'ensemble du site
Chaque connexion est forcée en HTTPS (TLS 1.2+), avec un HSTS longue durée qui interdit aux navigateurs toute bascule en clair. Le trafic est chiffré de bout en bout et ne peut être lu ni modifié par un attaquant sur le chemin.
Hachage des mots de passe avec bcrypt
Les mots de passe de partage définis par l'utilisateur sont stockés sous forme de hachage unidirectionnel bcrypt, standard de l'industrie. Même nos serveurs ne peuvent les inverser, et aucun mot de passe en clair n'existe dans nos systèmes.
Expiration automatique des fichiers
Les fichiers déposés sont conservés 30 jours à compter de la dernière consultation. Passé ce délai, le lien de partage devient immédiatement invalide et le fichier est placé en file de suppression : aucun ménage manuel à faire, et un fichier expiré n'est plus accessible à quiconque.
URL d'upload presigned à durée de vie courte
Au moment de l'envoi, le serveur émet une URL presigned à durée de vie courte, pour que le navigateur dépose le fichier directement sur le stockage d'objets cloud. L'URL expire rapidement et ne peut pas être réutilisée, empêchant les envois non autorisés.
Content Security Policy stricte
La politique par défaut bloque chaque ressource externe et n'autorise que le strict minimum d'origines. Combinée aux en-têtes X-Frame-Options et Referrer-Policy, elle réduit la surface d'attaque pour le XSS, le clickjacking et la fuite de referrer.
Rate limiting multi-niveaux
Les endpoints sensibles — connexion, upload, vérification de mot de passe — sont protégés par un rate limiting qui se déclenche dès la détection d'un abus. Il bloque le brute-force et l'automatisation sans pénaliser le trafic légitime.
Défense anti-bot sans friction via Turnstile
Les formulaires sensibles sont protégés par Cloudflare Turnstile, qui exploite des signaux d'appareil et de comportement en arrière-plan pour distinguer humains et bots — sans puzzle d'image, sans friction pour l'utilisateur.
Journalisation des IP masquée
Les adresses IP complètes ne sont jamais conservées. Avant écriture dans les journaux analytiques ou de sécurité, les IP sont masquées (par ex. 1.2.3.***) ; les IP brutes ne subsistent en mémoire que le temps strictement nécessaire à la décision de défense en cours, puis sont supprimées, ce qui limite l'impact d'une éventuelle fuite de logs.
Mesures complémentaires
| Mesure | Description |
|---|---|
| Requêtes paramétrées | Toutes les requêtes base de données utilisent un binding paramétré, ce qui élimine à la racine la classe d'attaque SQL Injection. |
| Validation des entrées | Les endpoints API imposent une validation par schema (required, min, max, email, etc.). Toute entrée malformée est rejetée avant d'atteindre la logique métier. |
| Protection CSRF | Toute requête modifiant l'état exige un CSRF Token indépendant, les Cookies portent HttpOnly + Secure + SameSite=Strict, ce qui bloque à la source la falsification de requête intersites. |
| Politique CORS stricte | Seul le domaine officiel est autorisé à appeler l'API ; tout appel cross-origin non autorisé est rejeté. |
| Atténuation DDoS via Cloudflare | Les nœuds edge détectent et atténuent automatiquement le trafic anormal avant qu'il n'atteigne les serveurs d'origine. |
| Journalisation masquée des champs sensibles | Le framework de logging masque par défaut les IP, Tokens et mots de passe : même en cas de fuite des journaux, les valeurs sensibles ne fuitent pas avec eux. |
Divulgation responsable
Si vous pensez avoir trouvé une faille de sécurité sur LPIC.cc, merci de la signaler en privé à [email protected]. En retour, nous nous engageons à :
- Accuser réception de votre rapport sous 48 heures.
- Ne pas engager de poursuites contre les chercheurs de bonne foi.
- Vous remercier publiquement sur cette page après le correctif, si vous le souhaitez.
Pour ne pas affecter les autres utilisateurs, évitez les scans automatisés ou tests de charge sur la production.
Dernière mise à jour : 21 avril 2026