Sécurité

Ce qui protège vos données.

Pas de badges que nous ne détenons pas, pas d'affirmations que nous ne pouvons pas prouver. Cette page décrit ce qui est réellement implémenté - et elle est relue contre le code.

Dernière revue : juin 2026

01/En transit

Connexions chiffrées, partout

Tout le trafic passe en HTTPS avec HSTS preload. Des en-têtes de sécurité stricts accompagnent chaque réponse : content security policy, interdiction d'iframe, no-sniff MIME et permissions verrouillées.

02/Votre compte

Mots de passe et sessions, faits correctement

Les mots de passe sont hachés avec bcrypt (coût 12) et ne sont jamais stockés ni journalisés en clair. Les sessions vivent en base et transitent dans un cookie httpOnly et secure - elles expirent après 30 jours et peuvent être révoquées côté serveur à tout moment.

03/Vos données

Isolées par organisation, chiffrées là où ça compte

Chaque requête est limitée à votre organisation - un client ne peut jamais lire les données d'un autre. Les coordonnées bancaires sont chiffrées au repos en AES-256-GCM, un chiffrement authentifié qui détecte toute altération.

04/Vos factures

Une piste d'audit qui n'est jamais réécrite

Chaque action significative sur vos documents commerciaux est consignée dans un journal d'audit en append-only. Chaque facture finalisée rejoint une chaîne d'intégrité SHA-256 propre à votre organisation, et un dossier de preuve - l'UBL de la facture et ses rapports de validation - est archivé au rendu ou à l'export, conçu pour les 10 ans de conservation exigés par la DGI.

05/Paiements

Votre carte ne touche jamais Hisab

Tous les paiements sont traités par Paddle. Les numéros de carte sont saisis dans le checkout Paddle, stockés sur leur infrastructure conforme PCI DSS, et ne transitent jamais par nos serveurs. Les webhooks sont vérifiés par signature avant tout traitement.

06/Documents & PDF

Un service séparé et durci

La génération de PDF et le stockage documentaire tournent sur un service dédié : chaque route de fichiers et de PDF exige une authentification de service, les fichiers sont confinés dans des répertoires par organisation, et les requêtes sont limitées en taille et en fréquence.

07/Une faille ?

Dites-le-moi directement

Les signalements de sécurité arrivent sur contact@hisab.ma et me parviennent directement - Salah, le fondateur. Je lis chaque rapport et réponds personnellement. Si vous avez trouvé une vulnérabilité, merci : joignez les étapes de reproduction.

Une question sans réponse sur cette page ?

Écrivez à contact@hisab.ma - votre message arrive chez la personne qui a construit le système.

contact@hisab.ma