Initial commit

docs/SECURITY.md

@@ -0,0 +1,40 @@
+# Sécurité
+
+Décrit les exigences de sécurité et les règles de conformité.
+
+---
+
+## Légende des zones
+- `<A REMPLIR - PROJET> (exemple: à personnaliser — a supprimer)` : à compléter par toi selon le projet.
+- `<A COMPLETER PAR AGENT>` : à compléter par un agent spécialisé sécurité.
+
+---
+
+## 1. Données & confidentialité
+- Données sensibles : <A REMPLIR - PROJET> (exemple: emails + historiques de paiement — a supprimer)
+- Classification des données : <A COMPLETER PAR AGENT>
+- Conservation / suppression : <A REMPLIR - PROJET> (exemple: 12 mois — a supprimer)
+
+## 2. Authentification / autorisation
+- Modèle d’accès : <A COMPLETER PAR AGENT>
+- MFA (Multi-Factor Authentication = double facteur) / SSO (Single Sign-On = connexion unique) : <A REMPLIR - PROJET> (exemple: MFA non requis — a supprimer)
+- Gestion des rôles : <A COMPLETER PAR AGENT>
+
+## 3. Secrets & configuration
+- Stockage des secrets : <A COMPLETER PAR AGENT>
+- Rotation : <A COMPLETER PAR AGENT>
+
+## 4. Sécurité applicative
+- Validation des entrées : <A COMPLETER PAR AGENT>
+- Protection CSRF/XSS (attaques web courantes) : <A COMPLETER PAR AGENT>
+- Chiffrement en transit/au repos : <A COMPLETER PAR AGENT>
+
+## 5. Journalisation & audit
+- Événements audités : <A COMPLETER PAR AGENT>
+- Rétention : <A COMPLETER PAR AGENT>
+
+---
+
+## Exemple (a supprimer)
+- Données sensibles : emails, adresses, historiques de paiement.
+- Secrets : stockés dans un coffre, jamais en clair.