La sécurité de la plateforme

Les mots de passe ne sont jamais enregistrés en clair : ils sont hachés avec bcrypt, un algorithme conçu pour être lent à casser. Concrètement, personne — pas même l'administrateur de la plateforme — ne peut lire votre mot de passe. En cas d'oubli, il n'est pas retrouvé : il est remplacé.

Huit caractères au minimum sont exigés à l'inscription, avec confirmation pour éviter la faute de frappe. La réinitialisation passe par un lien envoyé à l'adresse e-mail du compte ; ce lien expire au bout d'une heure et ne sert qu'une fois. Les demandes répétées sont limitées, pour qu'une boîte mail ne puisse pas être inondée depuis le site.

Les tentatives de connexion sont elles aussi limitées : après plusieurs échecs consécutifs, la même adresse doit patienter avant de réessayer. C'est ce qui rend inutile l'essai systématique de mots de passe.

Ces règles ne sont pas de simples liens masqués dans le menu : elles sont vérifiées côté serveur à chaque requête. Saisir directement l'adresse d'une page d'administration en étant étudiant ne donne rien.

Les PDF, vidéos et enregistrements audio ne sont pas déposés dans le dossier public du serveur : ils vivent sur un disque privé, inaccessible depuis le web. Chaque ouverture passe par la plateforme, qui vérifie d'abord que le demandeur est administrateur ou inscrit à la saison concernée. Sinon, la réponse est un refus.

Les fichiers sont servis en lecture (« inline ») : ils s'affichent dans le navigateur au lieu d'être proposés à l'enregistrement, et le téléchargement explicite est réservé à l'administration.

Le site est servi en HTTPS : ce qui circule entre votre navigateur et le serveur — mot de passe compris — est chiffré en chemin.

Le cookie de session est marqué HttpOnly, donc illisible par un script de la page, et SameSite, ce qui empêche un autre site de s'en servir à votre place. La session expire après une période d'inactivité, et se déconnecter la ferme immédiatement.

Chaque formulaire du site porte un jeton anti-falsification : une requête envoyée depuis un autre site, à votre insu, est rejetée. Les données saisies sont validées côté serveur avant d'atteindre la base, et les requêtes sont construites de manière à écarter les injections.

Les fichiers déposés — photo de profil, support de cours — sont contrôlés sur leur type et leur taille, puis renommés avant d'être stockés. Un fichier envoyé ne peut pas devenir un programme exécuté par le serveur.

Le contenu des articles du blog est rédigé par l'administration et affiché tel quel ; c'est pourquoi la rédaction est strictement réservée aux comptes administrateurs.

La base de données et les fichiers sont sauvegardés par l'hébergement, ce qui permet de revenir en arrière après une erreur ou une panne. Les journaux d'erreur du serveur sont conservés le temps de diagnostiquer un incident.

Si un incident venait à exposer des données personnelles, les personnes concernées seraient prévenues par e-mail, avec la nature du problème et la marche à suivre.

La meilleure protection technique ne remplace pas quelques réflexes simples.

Si vous découvrez un défaut de sécurité — un support accessible sans être inscrit, une page d'administration ouverte à un étudiant, une donnée visible par quelqu'un qui ne devrait pas la voir — signalez-le à contact@formationprofmohamedtkatek.com plutôt que de le publier.

Décrivez ce que vous avez observé et comment le reproduire. Un signalement fait de bonne foi, sans dégrader le service ni consulter les données d'autrui, ne vous sera jamais reproché — au contraire.

Aucun site ne peut se dire invulnérable, et prétendre le contraire serait malhonnête. Cette page décrit les protections réellement en place, pas un idéal. Trois limites méritent d'être dites clairement :

• un étudiant autorisé peut, techniquement, conserver une copie d'un support qu'il a le droit de consulter ;
• la plateforme ne propose pas encore d'authentification à deux facteurs ;
• la sécurité dépend aussi de l'hébergement et de la vigilance de chacun sur ses propres identifiants.

L'usage qui est fait de vos données personnelles est détaillé dans la politique de confidentialité.