Clés
En cas de fuite, régénérez ou révoquez la clé dans Paramètres → Clés API, puis
déployez la nouvelle valeur.
Données personnelles
- Le SDK ne lit jamais la valeur des champs de formulaire.
- Il retire les propriétés nommées
password,token,secret,creditCard,cardNumber,cvv,accessToken,refreshToken. - L’adresse IP est lue par le serveur, pas par le navigateur. Elle est stockée avec son empreinte SHA-256 et sert à la géolocalisation.
Accès au dashboard
- Connexion par mot de passe et code à usage unique envoyé par e-mail.
- Sessions courtes (jeton d’accès de 15 minutes, renouvelé automatiquement).
- Limitation des tentatives de connexion par IP et par adresse e-mail.
Infrastructure
- Les bases de données ne sont pas exposées publiquement : seule l’API l’est.
- Les captures d’écran des heatmaps sont prises par le serveur, jamais dans le navigateur de vos visiteurs. Le robot ne visite que l’URL de votre projet, après une vérification qui interdit les adresses internes. Les captures sont stockées dans un espace privé et ne sont servies qu’à votre dashboard.
- Les webhooks ne sont envoyés qu’à des URL HTTPS, sans suivre les redirections.