Changements liés à la sécurité ou à la confidentialité.
View All TagsLe système d'enregistrement des visites (visitor_logs, /api/analytics) gagne trois nouvelles dimensions — type d'appareil, source de trafic, langue — et une anonymisation basique de l'IP. En parallèle, un bug faisait que le bandeau cookies ne trackait jamais un visiteur ayant choisi "Personnaliser" avec Analytics activé.
Le backoffice a désormais un vrai parcours "mot de passe oublié", frontend et backend compris — mais il ne fonctionne pas encore, pour deux raisons indépendantes.
Les formulaires de demande de prêt scolaire et d'ouverture de compte envoient désormais un vrai SMS avec un code aléatoire, au lieu du code 000000 codé en dur documenté jusqu'ici. La vérification du numéro de compte auprès de la banque est elle aussi devenue réelle, via un middleware bancaire — avec un repli mock à surveiller de près.
Une passe d'audit ciblée a mis au jour plusieurs endpoints backend accessibles sans authentification ou sans vérification du périmètre agence/zone de l'utilisateur — tous corrigés. Le cas le plus instructif : un correctif déjà appliqué au filtrage par zone s'est révélé totalement inopérant, découvert seulement en testant avec un vrai compte connecté plutôt qu'en relisant le code.
Sur la fiche détail d'une demande de prêt, un gestionnaire qui change le statut d'un dossier voit désormais l'email exact qui sera envoyé au client avant de valider sa décision, au lieu d'un envoi immédiat et silencieux.