Changements côté API.
View All TagsLe système d'enregistrement des visites (visitor_logs, /api/analytics) gagne trois nouvelles dimensions — type d'appareil, source de trafic, langue — et une anonymisation basique de l'IP. En parallèle, un bug faisait que le bandeau cookies ne trackait jamais un visiteur ayant choisi "Personnaliser" avec Analytics activé.
Les formulaires de demande de prêt scolaire et d'ouverture de compte envoient désormais un vrai SMS avec un code aléatoire, au lieu du code 000000 codé en dur documenté jusqu'ici. La vérification du numéro de compte auprès de la banque est elle aussi devenue réelle, via un middleware bancaire — avec un repli mock à surveiller de près.
La page backoffice "Demandes de prêt" chargeait systématiquement l'intégralité des dossiers du périmètre de l'utilisateur en un seul appel, puis regroupait et filtrait tout côté client en mémoire. Elle affiche désormais uniquement des compteurs au chargement, et ne va chercher une liste réelle qu'au clic sur un type de prêt puis, si nécessaire, une agence.
Une passe d'audit ciblée a mis au jour plusieurs endpoints backend accessibles sans authentification ou sans vérification du périmètre agence/zone de l'utilisateur — tous corrigés. Le cas le plus instructif : un correctif déjà appliqué au filtrage par zone s'est révélé totalement inopérant, découvert seulement en testant avec un vrai compte connecté plutôt qu'en relisant le code.
Sur la fiche détail d'une demande de prêt, un gestionnaire qui change le statut d'un dossier voit désormais l'email exact qui sera envoyé au client avant de valider sa décision, au lieu d'un envoi immédiat et silencieux.