Accès et authentification
Les accès API utilisent des jetons JWT. Les mots de passe sont hachés côté serveur. Les espaces administrateur, station, gérant et trésorier sont séparés par authentification et autorisations.
Chiffrement et transport
Le site, l'API et les échanges d'administration doivent être servis en HTTPS avec un certificat TLS valide. Les secrets JWT, MongoDB, Kkiapay et messagerie doivent rester dans l'environnement serveur et ne jamais être publiés dans le dépôt ou l'application.
GPS et terminal
Le GPS Teltonika communique avec le listener TCP dédié, puis l'API interne authentifie chaque transmission par secret serveur. L'IMEI associe la position au tricycle. Les positions temps réel sont diffusées uniquement aux canaux Socket.IO nécessaires.
Protection opérationnelle
Les uploads sont limités aux images autorisées et à une taille maximale. Helmet, CORS, limitation de débit, validation des entrées, journaux serveur et sauvegardes MongoDB doivent être activés et contrôlés régulièrement.
Certificats et licences
Les certificats TLS du domaine et les certificats de signature Apple/Android sont gérés séparément. Les bibliothèques open source sont utilisées conformément à leurs licences; un inventaire des dépendances doit être conservé pour chaque version publiée.