La sécurité de vos agents de code, en une commande.

après

 // GET /api/orders/:id
 const order = await db.order.findUnique({
+  where: { id: req.params.id, tenantId: req.user.tenantId },
 });
+if (!order) return res.status(404).end();
 return res.json(order);

Règle : cloisonnement par tenant des requêtes

après

+router.post('/refund', requireRole('finance'), async (req, res) => {
+  const intent = await getOwnedIntent(req.user, req.body.intent);
+  const amount = clampRefund(intent, req.body.amount);
+  await stripe.refunds.create({ payment_intent: intent.id, amount });
   return res.json({ ok: true });
 });

Règle : plafond d'autorisation sur les remboursements

après

 app.post('/webhook/stripe', async (req, res) => {
+  const key = req.headers['idempotency-key'];
+  if (await seen.has(key)) return res.send('dup');
   await orders.markPaid(req.body.id);
+  await ledger.append({ type: 'charge', key, ... });
+  await seen.add(key, '24h');
   res.send('ok');
 });

Règle : clé d'idempotence sur les webhooks

après

+logger.info('signup', {
+  userId: hash(req.body.email),
+  region: req.body.region,
+});

Règle : politique de données personnelles dans les logs

après

+// admin.routes.ts (auth + rbac applied at mount)
+router.use(requireSession, requireRole('admin'));
+router.get('/users', listAllUsers);

Règle : middleware d'auth obligatoire sur les routes

après

+if (flags.allow_anyone_to_export === true && req.user.role === 'admin') {
+  audit.log('export.all', req.user);
   return exportAll();
 }

Règle : valeurs par défaut sûres des feature flags

après

+router.post('/login',
+  rateLimit({ windowMs: 60_000, max: 8, keyGenerator: ipAndEmail }),
+  loginHandler);

Règle : rate limiting sur le login

après

+router.get('/admin/export', requireAdmin, async (req, res) => {
+  const rows = await db.user.findMany({
+    where: { tenantId: req.user.tenantId },
   });
+  audit.log('export', req.user);
   res.csv(rows);
 });

Règle : cloisonnement par tenant des exports admin