Sécurité

• 🔒 Mots de passe hachés avec argon2id, double authentification (application, e-mail, SMS, codes de récupération).
• 🔒 Isolation stricte des données entre organisations, vérifiée par des tests automatisés.
• 🔒 Secrets et identifiants des fournisseurs chiffrés (AES-256-GCM), jamais réaffichés.
• 🔒 Clés API stockées sous forme d'empreinte HMAC, affichées une seule fois.
• 🔒 Journal d'audit immuable des actions sensibles.
• 🔒 Aucune donnée de carte (numéro, cryptogramme) stockée ni journalisée.

GedPay vise un périmètre PCI DSS minimal ; aucune certification n'est revendiquée à ce stade.