Sécurité

WheelOfSpins protège vos roues et la sécurité de votre compte grâce au chiffrement HTTPS, à des en-têtes de sécurité stricts, à des jetons de session signés, à un accès aux données limité à leur propriétaire et à un hasard cryptographique calculé dans votre propre navigateur.

Chiffrement HTTPS et en-têtes de sécurité du navigateur

Toutes les pages et requêtes sont servies en HTTPS avec un chiffrement TLS moderne, et HTTP Strict Transport Security (HSTS) indique aux navigateurs d'utiliser toujours la connexion sécurisée. Le site envoie aussi une Content Security Policy, X-Frame-Options pour bloquer le clickjacking, X-Content-Type-Options pour empêcher la détection du type de contenu, une Referrer-Policy stricte et une Permissions-Policy qui désactive l'accès à la caméra, au micro et à la localisation.

  • HTTPS partout avec HSTS
  • Content Security Policy et protection contre le clickjacking
  • Accès à la caméra, au micro et à la localisation désactivé

Hasard cryptographique dans votre navigateur

Chaque résultat est choisi dans votre navigateur avec la Web Crypto API (crypto.getRandomValues), qui fournit des nombres aléatoires cryptographiquement sûrs. Dans le cas rare où un navigateur très ancien ne prend pas en charge Web Crypto, la roue utilise la fonction aléatoire standard du navigateur pour continuer à fonctionner. Les résultats ne sont jamais décidés sur nos serveurs, et seules les pondérations que vous définissez vous-même modifient les probabilités.

  • Tirage avec la Web Crypto API
  • Résultats calculés sur votre appareil
  • Probabilités modifiées uniquement par vos pondérations

Sécurité du compte et contrôle d'accès

Les mots de passe sont stockés uniquement sous forme de hachages bcrypt, jamais en clair. Une fois connecté, votre session est maintenue par des JSON Web Tokens signés, stockés dans des cookies HTTP-only que les scripts de la page ne peuvent pas lire. Chaque requête portant sur des roues enregistrées est vérifiée par rapport à votre compte : vous ne pouvez consulter ou modifier que vos propres roues, et les liens publics n'affichent que les roues que vous choisissez de publier.

  • Mots de passe stockés en hachages bcrypt
  • Cookies de session HTTP-only
  • Roues enregistrées réservées à leur propriétaire

Signaler une vulnérabilité de sécurité

Nous accueillons volontiers les signalements des chercheurs en sécurité et des utilisateurs. Si vous découvrez une vulnérabilité, envoyez-nous les détails via notre page de contact, en indiquant l'URL concernée, les étapes pour reproduire le problème et son impact potentiel. Merci de nous laisser un délai raisonnable pour enquêter et corriger le problème avant de le rendre public.

  • Signalement via la page de contact
  • Étapes de reproduction à inclure
  • Divulgation responsable appréciée

Questions fréquentes

Comment WheelOfSpins garantit-il des tirages équitables ?

Les résultats sont choisis dans votre propre navigateur avec la Web Crypto API : nos serveurs ne peuvent donc pas les modifier. La seule façon de changer les probabilités est de définir vous-même des pondérations.

Les autres utilisateurs peuvent-ils voir mes roues enregistrées ?

Non. Les roues enregistrées sont liées à votre compte et chaque requête est vérifiée. Les autres personnes ne peuvent ouvrir que les roues que vous partagez avec un lien public.

Comment signaler une vulnérabilité de sécurité ?

Utilisez le formulaire de notre page de contact en indiquant l'URL concernée, les étapes de reproduction et l'impact constaté. Nous examinons chaque signalement valide.