SECURITY
Le produit expose des surfaces, pas ses secrets.
MecaPlusPro force les boundaries Next.js, auth, permissions, documents securises et read models serveur avant tout acces au contenu sensible.
Current staging doctrine
Produit ouvrable, boundaries visibles, faux fini refuse.
Le staging complet reste distinct de la production et du premier vrai garage. Les gates humains reels restent visibles.
Three spaces
Public Site, Garage App, MecaPlusPro Admin.
Server truth
Auth, APIs, read models et binaries controles cote serveur.
No browser secrets
Ni PostgreSQL, ni n8n, ni provider direct depuis le client.
Proof first
Audit, exports, health et acceptance Founder avant toute promotion.
Sessions opaques HttpOnly et scopes serveur.
Liens temporaires securises pour documents et media externes.
Le staging doit prouver l'isolation garage et Founder.