Vérifiez vous-même. Ouvrez l’onglet Réseau.

1. Architecture local-first

Le cœur de BIMCHECK-Rename est une application Next.js statique + React qui lit, parse, renomme et empaquette vos fichiers entièrement côté client. Le serveur ne voit ni le contenu, ni les noms d’origine, ni les noms générés.

2. Headers HTTP audités

Tous les headers sensibles sont définis dans la configuration Next.js puis appliqués par la plateforme à chaque réponse. Vous pouvez les vérifier avec curl -I.

3. Content Security Policy stricte

La CSP applique le principe du moindre privilège : seul ce qui est nécessaire est autorisé. En production, les scripts sont limités à l’origine du site et aux scripts inline nécessaires au runtime Next.js. La directiveunsafe-evalest réservée au serveur de développement et n’est pas envoyée en production.

default-src 'self';
script-src 'self' 'unsafe-inline';
style-src  'self' 'unsafe-inline' https://fonts.googleapis.com;
img-src    'self' data: blob:;
font-src   'self' https://fonts.gstatic.com data:;
connect-src 'self' blob: https://*.convex.cloud wss://*.convex.cloud
            https://*.ingest.sentry.io https://*.sentry.io
            https://app.posthog.com https://eu.i.posthog.com https://us.i.posthog.com;
worker-src 'self' blob:;
frame-ancestors 'none';
base-uri 'self';
form-action 'self';
object-src 'none';
manifest-src 'self';
upgrade-insecure-requests;

Objectif de durcissement : supprimer progressivementunsafe-inlineaprès migration vers des nonces. Les connexions Sentry et PostHog restent inactives tant que la télémétrie n’est pas explicitement activée par configuration.

4. CI sécurité automatique

La CI vérifie chaque changement avec les tests et l’analyse statique ; les audits dynamiques ZAP et Lighthouse complètent ce contrôle selon leur fréquence indiquée.

Les workflows GitHub sont publics dans .github/workflows/ : codeql.yml, zap.yml, lighthouse.yml, e2e.yml.

5. Dépendances

Dépendances de runtime minimales et bien connues. Pas de SDK propriétaire opaque, pas de SaaS tiers manipulant le contenu fichier.

Audit npm prod : npm audit --omit=dev fait partie de la validation avant mise en production ; il n’est pas présenté comme une étape automatique du build Next.js.

6. Réponse à incident

En cas de vulnérabilité découverte (CVE dans une dépendance, faille applicative, etc.), les objectifs opérationnels suivants servent de guide. Ils ne constituent pas encore un SLA contractuel :

1. Qualifier la gravité et prioriser les cas critiques avant les défauts moins sensibles.
2. Correctif déployé via Vercel sans coupure de service.
3. Préparer une communication proportionnée si un incident affecte réellement des utilisateurs.
4. Formaliser les délais et notifications avant l’ouverture d’un service payant.

Pour signaler une faille de manière confidentielle : bimcheck-consulting@proton.me. Aucun fichier confidentiel ne doit être joint au premier message.

7. Engagement Entreprise (en préparation)

Pour les grands comptes AEC qui ne peuvent pas adopter un SaaS sans audit, les options suivantes sont en préparation. Contactez-nous si elles correspondent à votre cas — votre demande nourrit la roadmap.

Les documents Entreprise (DPA, architecture de référence et matrice tarifaire) ne sont pas encore publiés. Toute disponibilité devra être confirmée par écrit.