Sécurité
Voici comment votre compte Tutu est protégé.
Argon2 avec sel aléatoire
Les mots de passe sont hachés avec Argon2 et un sel aléatoire par compte ; même une fuite de la base ne les révèle pas. Nous ne voyons jamais votre mot de passe.
PKCE S256 imposé
La connexion tierce utilise le code d’autorisation OAuth2 + PKCE (S256 imposé, plain refusé). Codes à usage unique, valides 60 s avec vérification de liaison, contre interception et rejeu.
Déconnexion partout en un clic
Après un changement de mot de passe ou « déconnexion de tous les appareils », les jetons sont comparés à l’heure d’émission — les anciennes sessions expirent aussitôt, sans attente.
Défense anti-détournement de compte
Les produits se lient uniquement par un ID de compte unique, sans jamais fusionner de comptes via un e-mail non vérifié. Cela ferme à la racine le « s’inscrire avec votre e-mail pour détourner ».
Ce que vous contrôlez
La sécurité n’est pas que notre affaire — ces outils sont toujours entre vos mains.
Conservation et suppression des données
Après suppression, votre compte est invalidé immédiatement et déconnecté partout ; les données sont supprimées logiquement et conservées 30 jours (en cas d’erreur), puis supprimées définitivement avec nettoyage en cascade des sessions, codes d’autorisation, consentements et journaux de sécurité. Consultez la Politique de confidentialité et les Conditions d’utilisation.