Niveau API : Tous les corps de requête REST et les paramètres de chemin sont vérifiés par validation de schéma. Les requêtes invalides sont rejetées avant d’atteindre la logique métier.

Niveau base de données : Exclusivement des requêtes paramétrées — pas de concaténation de chaînes, pas de SQL brut. Cela empêche les injections SQL par conception.

Niveau WAF : Le type de contenu JSON est imposé pour les requêtes API. Les motifs d’injection connus sont automatiquement bloqués.

Niveau frontend : Auto-échappement Vue 3 dans les templates. Traitement DOM sécurisé pour les contenus HTML (pas d’insertion directe de HTML brut).

Téléversements de fichiers : Vérification de la taille et du type — le type de fichier est détecté à partir du contenu du fichier, jamais à partir de son nom ; les archives, les dossiers et les boîtes aux lettres, s’ils sont activés pour ton espace de travail, sont décompressés avec des limites strictes (au maximum 500 entrées par archive, au maximum 100 fois la taille de l’archive mais toujours au moins 32 Mo, et au maximum 8 Go décompressés, aucun fichier individuel de plus de 2 Go), et les pages web et le XML sont rendus sans aucun accès réseau.

Gestion des erreurs : Les messages d’erreur ne contiennent ni traces de pile ni détails internes. Les erreurs 404 et 403 sont retournées sans corps. Les rapports d’erreur sont automatiquement nettoyés des données personnelles identifiables (PII).