Médias privés
Les pièces jointes de la messagerie sont conservées dans un bucket privé et sont accessibles par des URL signées à durée limitée, après vérification des autorisations.
Contrôle des accès
Les tables de messagerie utilisent des politiques RLS. Les opérations côté entreprise vérifient le tenant et les autorisations avant d’exposer les messages ou médias.
Liens et texte
Les liens HTTP(S) sont reconnus et ouverts dans un nouvel onglet avec des attributs de sécurité. Le texte est rendu comme contenu, pas interprété comme HTML arbitraire.
Limites d’envoi
Les pièces jointes publiques sont limitées aux types d’image acceptés et à 5 Mo, avec une limitation de fréquence des envois.
En-têtes web
La vitrine sous-domaine applique notamment une politique CSP, X-Content-Type-Options, Referrer-Policy et X-Frame-Options.
Transparence sur les tests
Un déploiement réussi confirme la compilation et la publication, mais ne remplace pas un test de bout en bout depuis un navigateur client réel.
Une approche transparente
Nous distinguons les fonctions déployées, les tests de compilation et les scénarios qui nécessitent encore une validation en conditions réelles.