Sécurité
Authentification
Mecanix360 n'utilise pas de mots de passe. Ce n'est pas une contrainte — c'est un choix d'architecture.
Mecanix360 n'utilise pas de mots de passe. Ce n'est pas une contrainte — c'est un choix d'architecture. Les mots de passe sont le vecteur d'attaque le plus exploité dans les brèches de données professionnelles : réutilisation entre services, hameçonnage, bases de données compromises. Nous les avons éliminés.
Méthodes disponibles
| Méthode | Comment ça fonctionne |
|---|---|
| Passkeys — FIDO2 / WebAuthn | Authentification biométrique ou PIN, standard W3C WebAuthn. La clé privée ne quitte jamais l'appareil de l'utilisateur. Elle est liée au domaine mecanix360.com — elle ne peut pas être utilisée sur un site frauduleux. La résistance au phishing est structurelle, pas comportementale. |
| Lien magique | Un lien à usage unique est envoyé par email. Il expire après une courte durée et ne peut être utilisé qu'une seule fois. Aucun secret n'est stocké côté serveur. |
| OAuth Google | La connexion peut être déléguée à Google. Mecanix360 ne reçoit jamais le mot de passe de l'utilisateur. |
| OAuth Apple | La connexion peut être déléguée à Apple ID. L'option Hide My Email est respectée. |
Sessions
Les sessions sont gérées par tokens signés. Chaque session peut être révoquée instantanément depuis le workspace — ce qui déconnecte l'utilisateur de tous ses appareils simultanément. Les données ne sont jamais stockées localement sur l'appareil.
Pourquoi les passkeys sont supérieures aux mots de passe
- Résistance au phishing — la clé est liée au domaine, elle ne peut pas être utilisée sur un faux site
- Pas de serveur à compromettre — la clé privée ne quitte jamais l'appareil de l'utilisateur
- Pas de gestion de mots de passe — aucune politique de complexité, aucune réinitialisation
- Biométrie locale — l'empreinte ou le PIN ne sont jamais transmis au serveur
- Standard ouvert — W3C WebAuthn, supporté nativement par les navigateurs modernes