PerfectFit est un service SaaS B2B de recommandation de tailles. Cette page documente notre posture sécurité et les engagements vis-à-vis des données partenaires. Dernière mise à jour : 25 mai 2026.
Une faille suspectée sur PerfectFit ? Écrivez à security@perfectfit.local. Nous accusons réception sous 48 h ouvrées et publions un correctif dans les 30 jours (90 jours pour les failles non exploitables à distance). Voir aussi notre security.txt (RFC 9116).
Chaque tenant reçoit une clé API stockée hashée (SHA-256) en base. La clé brute n'est jamais loggée ni exposée. Vérification via RPC PostgreSQL en SECURITY DEFINER restreinte au rôle service_role. Acceptée via header x-pf-raw-key,Authorization: Bearer, ou X-API-Key.
Sliding-window 60 s par défaut, configurable par tenant via la colonne api_keys.rate_limit. Réponse 429 avec en-têtes Retry-After et X-RateLimit-*.
Row Level Security PostgreSQL active sur toutes les tables sensibles (api_keys, admin_users, recommendation_clicks,sizing_events, rate_limit_buckets). Seul le rôle service_role côté API accède aux données ; les rôles anon et authenticated n'ont accès qu'aux données de référence publiques (size charts).
Hébergement Vercel (région CDG1 Paris) + Supabase EU-West-1 (Dublin). Toutes les communications en TLS 1.2+. HSTS preload activé (max-age=63072000). Données au repos chiffrées AES-256 (Supabase managed).
Origins explicitement listées via la variable NEXT_PUBLIC_API_ALLOWED_ORIGINS. Les origins non autorisées ne reçoivent pas d'en-tête Access-Control-Allow-Origin → bloquées par le navigateur.
Hashage bcrypt (rounds 12). Les anciens hashes SHA-256 sont migrés transparentement vers bcrypt au premier login post-déploiement.
Logs structurés sans données personnelles ni détails de schéma (pas de leak de noms de colonnes ou de contraintes). Conservation logs Vercel 30 jours par défaut.
Vercel Inc. (hébergement) · Supabase Inc. (base de données + auth + stockage) · Anthropic PBC (Claude Vision pour extraction OCR des étiquettes). Aucun autre prestataire n'a accès aux données client.
Aucun chercheur n'a encore signalé de vulnérabilité valide. Le premier sera crédité ici (s'il le souhaite), avec lien vers son profil pro.