Sécurité

Aucune connexion bancaire

Cumul ne demande jamais vos identifiants bancaires et ne passe par aucun agrégateur tiers. Vous saisissez vos positions ou les importez. Il n'y a donc ni IBAN, ni numéro de compte, ni mot de passe bancaire dans notre base.

Authentification

• Mots de passe hachés avec bcrypt (12 rounds) — jamais stockés en clair.
• Sessions signées (JWT HS256) dans un cookie httpOnly, Secure, SameSite=Lax.
• Message d'erreur identique que l'email existe ou non : pas d'énumération de comptes.

Isolation des données

Chaque requête vérifie que le compte ou la ligne appartient bien à l'utilisateur connecté. Les suppressions sont en cascade : supprimer votre compte efface tout.

Sources de prix

Les cours proviennent de CoinGecko, Yahoo Finance et Frankfurter (BCE). Seuls les symboles sont transmis, jamais vos quantités ni votre identité.

Hébergement et chiffrement

L'application est servie via Vercel et la base de données est hébergée dans l'Union européenne (Francfort), chiffrée au repos et en transit (TLS). Les sauvegardes sont automatiques. Vous pouvez supprimer votre compte et toutes vos données en un clic depuis les paramètres.

Signaler une vulnérabilité

Écrivez-nous à security@cumul.app. Nous répondons sous 72 h et créditons les signalements responsables.