Sécurité

L’éditeur traite du contenu fourni par des utilisateurs. Il applique donc plusieurs protections par défaut, mais votre backend reste responsable des règles métier et des fichiers qu’il accepte.

Ce que l’éditeur protège déjà

L’aperçu Markdown nettoie le HTML avant de l’afficher. Les URL sont vérifiées selon leur usage et les iframes personnalisées sont limitées aux hôtes HTTPS que vous autorisez explicitement.

Les routes de licence limitent également la taille des requêtes et des réponses et valident les champs reçus avant de les transmettre.

Ce que votre application doit encore vérifier

Validez les fichiers côté serveur avant de les stocker : type MIME, taille, extension et contenu attendu. Gardez les clés de licence, jetons et identifiants de stockage hors du navigateur. Si vous placez l’application derrière un reverse proxy, n’activez trustProxy que lorsque vous maîtrisez réellement la chaîne de proxy.

Pour les imports ou exports sensibles, préférez un adapter serveur afin de garder les traitements et les contrôles dans votre infrastructure.