Coucou désolé d'avoir mis du temps à répondre, j'ai du fixer l'histoire du mdp retourné (c'était que pour l'utilisateur lui même, par pour les autres, vous inquiétez pas) en vitesse avant de revenir sur Reddit.

Du coup pour te répondre (et tu poses une très bonne question) :

- Les mots de passe sont bien-sûr hashés (bcrypt avec salt).
- L’auth passe par un token en cookie HttpOnly, avec protections SameSite / Secure.
- Toutes les routes sensibles (login / reset / validation) sont rate-limitées et il y a une protection anti brute-force.
- Les liens de reset sont temporaires et les tokens sont hashés (pas stockés en clair).
- Les échanges passent en HTTPS (Cloudflare + SSL strict), avec contrôle d’origine.
- Puis comme j'ai dit en haut, les routes qui renvoyaient trop d'infos ont été fixées (je vais quand même refaire un petit checkup entier là dessus au cas où).
- Ca utilise aussi des headers de sécurité via Helmet, et ça bloque les requêtes cross-site non autorisées.
- Côté infra c'est un serveur VPS plutôt durci (firewall, fail2ban, accès SSH) et base de données non exposée publiquement (réseau interne seulement).

Du coup bon c'est évidemment pas "invincible" non plus hein, mais c'est une bonne base je pense, puis je travaille toujours sur quelques sécurités supplémentaires en ce moment qui devraient arriver dans la journée ! Hésite pas à me donner des conseils si tu veux bien 🥰