La plupart des failles viennent de bases laissées sans configuration. Haloo les gère par défaut, sans expertise.
La sécurité d'un site ne devrait pas être un projet à part. Dans Haloo, les mesures importantes sont actives dès le départ, sans configuration.
Ce qui est actif par défaut
- CSRF sur chaque action du panneau, avec un jeton validé à chaque écriture.
- Mots de passe bcrypt en coût 12.
- Passkeys (WebAuthn) — connexion sans mot de passe, avec empreinte ou Face ID.
- Secrets chiffrés at rest avec libsodium : votre clé IA n'est pas stockée en clair.
- Assainissement HTML du contenu utilisateur, avec une liste blanche stricte de balises.
- Protection SSRF à l'import de design et anti zip-slip à la restauration des sauvegardes.
Une petite surface d'attaque
Sans extensions tierces dans le chemin critique, la surface d'attaque est bien plus petite qu'un CMS aux dizaines d'extensions. Moins de code étranger = moins de surprises.
Un audit de sécurité dédié a parcouru le code et abouti à 12 correctifs appliqués — documentés, pas seulement promis.
Ce qui reste de votre côté
La technologie vous mène loin, mais quelques points restent les vôtres : supprimer install.php après l'installation, garder une copie de secret-key.bin à part des sauvegardes, et utiliser HTTPS. Haloo vous le rappelle pour chacun dans le panneau.
En conclusion
La sécurité ne devrait pas être difficile — elle devrait être par défaut. Haloo dresse les barrières importantes dès le départ, pour que vous vous occupiez du contenu, pas des failles.
