Pourquoi ConnectStar prend la sécurité de ses utilisateurs au sérieux dès le premier écran

> *"Comme un berger qui garde son troupeau la nuit, la sécurité commence avant que le danger apparaisse."*

> — inspiré de Jean 10:3

Pourquoi la sécurité commence dès l'écran de connexion

La plupart des applications traitent la sécurité comme une couche qu'on rajoute après coup. Chez ConnectStar, c'est le contraire : la sécurité est la première chose que nous avons construite — avant les messages, avant les groupes, avant la Bible intégrée.

Voici pourquoi, et comment.

Nos utilisateurs nous confient leurs prières, leurs témoignages, leurs conversations les plus intimes. Avant même qu'ils envoient leur premier message, nous leur devons une chose : que personne d'autre ne puisse se glisser à leur place.

1. Connexion par OTP : pas de mot de passe à retenir

La connexion sur ConnectStar se fait par code SMS à usage unique — ce que les développeurs appellent un OTP (*One-Time Password*). Pas de mot de passe à créer, à mémoriser, à oublier.

Pourquoi ? Parce que les mots de passe sont le maillon le plus faible de la sécurité numérique. 80 % des violations de données impliquent un mot de passe compromis. En le supprimant entièrement, on supprime ce risque.

Nous avons intégré un sélecteur de pays complet — 250+ pays avec leurs indicatifs internationaux, organisés par région, avec recherche instantanée. Un utilisateur au Brésil, en Côte d'Ivoire ou en Corée du Sud peut se connecter exactement comme quelqu'un en France. ConnectStar est une communauté mondiale. L'authentification devait l'être aussi.

2. Protection anti-bot avec Cloudflare Turnstile

Avant même d'envoyer un SMS, ConnectStar vérifie que la requête vient d'un humain.

Nous utilisons Cloudflare Turnstile — la solution anti-bot de nouvelle génération. Contrairement aux anciens CAPTCHAs qui font déchiffrer des textes déformés, Turnstile analyse des signaux comportementaux invisibles pour l'utilisateur réel : vitesse de frappe, mouvements, empreinte de l'appareil.

Résultat concret : zéro SMS frauduleux envoyé. Zéro abus possible sur nos quotas d'envoi. Et pour l'utilisateur légitime, l'expérience est fluide — il ne voit rien, Turnstile travaille en arrière-plan.

C'est la différence entre un videur discret et une file d'attente humiliante.

3. Rate limiting côté serveur

Turnstile peut être contourné par des acteurs sophistiqués. C'est pour ça que notre Supabase Edge Function "request-otp" implémente un deuxième niveau de protection : le rate limiting.

Concrètement :

• Un nombre limité de tentatives par numéro de téléphone par heure
• Un délai progressif entre chaque tentative
• Un log de toutes les tentatives suspectes pour audit

Même si quelqu'un parvenait à passer Turnstile, le serveur bloque avant qu'un abus soit possible. Les deux couches sont indépendantes — si l'une est contournée, l'autre tient.

Ce que ça change pour toi

Tu ne verras pas la plupart de ces protections. C'est exactement l'objectif.

Ce que tu verras : un écran simple, une connexion rapide, un code SMS qui arrive. Ce que tu ne verras pas : les dizaines de tentatives de bots bloquées chaque heure, les requêtes frauduleuses filtrées avant même d'atteindre nos serveurs.

La sécurité, quand elle est bien faite, est invisible.

Un acte de confiance réciproque

Nos utilisateurs nous font confiance avec leurs prières et leurs échanges les plus personnels. Cette confiance, nous la prenons au sérieux — pas dans les conditions générales, mais dans chaque ligne de code.

La sécurité n'est pas un argument marketing. C'est un acte de respect envers chaque personne qui nous dit : *"Je vous fais confiance avec ce qui compte pour moi."*