La sécurité est dans le code, pas dans la brochure.
Ce qui est décrit ici est ce que la plateforme applique aujourd'hui.
- Mots de passeHachés avec Argon2id (ou bcrypt), jamais stockés en clair. 12 caractères minimum avec majuscules, minuscules et chiffres.
- Inscription et connexionCode à 6 chiffres envoyé par e-mail (10 minutes, 3 essais), en plus du mot de passe pour la connexion.
- Anti-force brute3 tentatives par fenêtre de 15 minutes pour l'inscription et la connexion, par adresse IP et par compte.
- SessionsJeton aléatoire stocké sous forme d'empreinte, cookie HttpOnly et SameSite, expiration par inactivité, révocation immédiate.
- FormulairesJeton CSRF signé sur chaque envoi, champ piège contre les robots, validation côté serveur de chaque champ, sorties échappées.
- Clés APIAffichées une seule fois, conservées sous forme d'empreinte SHA-256, droits par clé, renouvellement et révocation, limite de requêtes.
- Secrets de webhooksChiffrés au repos (AES-256-GCM). Livraisons signées HMAC-SHA256, adresses internes interdites hors développement.
- Documents KYBType réel vérifié (pas seulement l'extension), 5 Mo maximum, contenu actif refusé, nom aléatoire, stockage hors du site web, téléchargement contrôlé.
- ComptabilitéRegistre à double entrée en ajout seul (modification et suppression bloquées par la base), idempotence sur les écritures, soldes jamais négatifs.
- Contrôle interneDroits par rôle vérifiés côté serveur, double validation des payouts importants, journal d'audit sans secrets.
- IsolationSandbox et Production séparées : clés et données distinctes. Aucun simulateur en Production.
- Cartes bancairesNabilaPay ne conserve aucun numéro de carte : la saisie et l'authentification 3-D Secure passent par un environnement certifié.
Vous avez trouvé une faille ? Écrivez-nous via la page contact avec le sujet « Sécurité » : nous répondons sous 72 heures.
Testez votre intégration aujourd'hui.
Compte gratuit, clé API Sandbox générée automatiquement, aucun argent réel.