Ce qui fait tourner Ostaq

Nous n'avons rien à cacher sur la façon dont l'application est construite. Cette page dit ce que nous utilisons vraiment, et pourquoi.

L'interface

Next.js 14 (App Router)	Le rendu des pages et la navigation
React 18	Les composants d'interface
Tailwind CSS	La mise en forme, thème sombre par défaut

L'interface est pensée mobile d'abord. C'est sur le téléphone qu'on saisit une dépense, pas devant un écran 27 pouces. Le reste s'y adapte, pas l'inverse.

Le serveur

Node.js 22 + Express 4	L'API
Prisma 5	L'accès aux données
MariaDB	La base de données
Redis	Cache des sessions, limitation de débit

Redis est optionnel. S'il est indisponible, l'application continue de fonctionner en mémoire. Une brique de performance ne doit jamais être un point de panne.

Ce qui protège vos données

Le détail est sur la page Sécurité et vie privée. L'essentiel :

• vos montants sont chiffrés avec une clé propre à votre compte ;
• les mots de passe passent par Argon2id, lauréat du concours de hachage de mots de passe ;
• l'authentification repose sur des cookies httpOnly, inaccessibles au JavaScript de la page ;
• chaque requête sensible est protégée contre la falsification (CSRF).

Comment nous travaillons

607 tests automatisés couvrent le serveur. Ils tournent à chaque déploiement, qui s'arrête net sur un test rouge et ne peut repartir que sur une confirmation explicite. Parmi eux, des tests de non-régression nommés d'après les bugs qu'ils empêchent de revenir.

Chaque déploiement commence par une sauvegarde, dont l'intégrité est vérifiée avant que quoi que ce soit ne bouge. Si la sauvegarde est douteuse, le déploiement s'arrête. Un retour arrière est toujours possible.

Les sauvegardes sont quotidiennes, avec des copies hebdomadaires et mensuelles conservées hors du serveur. Nous les restaurons pour vérifier qu'elles tiennent. Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde.

Hébergement

L'application et sa base sont hébergées en France, chez un fournisseur français.

Les copies de sauvegarde sont déposées sur Google Drive, pour disposer d'un exemplaire hors du serveur en cas d'incident matériel. Les colonnes financières y restent chiffrées. C'est le seul cas où des données sortent de l'infrastructure, et il est détaillé dans la politique de confidentialité de Ostaq.

Ce que nous n'utilisons pas

• Aucun traceur publicitaire, aucun outil d'analyse tiers.
• Aucune police externe : rien n'est chargé depuis un serveur tiers, donc votre adresse IP n'est transmise à personne.
• Aucune revente de données. Le modèle économique, c'est l'abonnement, pas vous.