Bundle starter · B02
Site de vente sécurisé
Stripe signé, RGPD opérationnel, CSP stricte. Encaisser sans s'exposer ni aux pirates ni à la CNIL.
Vends en règle dès le jour J+1.
Sur la fondation B01 : pages et contenu, conformité RGPD complète (CGV, confidentialité, cookies, mentions), secrets en coffre et paiement Stripe vérifié. Tout pour encaisser sans se mettre en faute.
// pourquoi ce bundle existe
Le scénario que ce bundle anticipe.
Le jour où tu vends ton premier produit en ligne, deux risques se cumulent : le risque technique (paiement compromis, données client exfiltrées) et le risque légal (CNIL, LCEN, RGPD). Les deux peuvent te coûter ta boîte. L'attaquant moderne ne cherche pas à voler ton produit, il cherche à intercepter le webhook Stripe pour rejouer un paiement, ou à exfiltrer ta table users en clair parce que tu as branché Supabase sans RLS.
Côté légal, la CNIL contrôle de plus en plus les bannières cookies non conformes (« refuser » qui se cache, default-allow…). Une mise en demeure à 3 000 € + suspension du site, c'est devenu standard. Le bundle pose une CSP stricte, des webhooks Stripe signés et idempotents, une bannière cookies default-deny avec Google Consent Mode v2, et les templates juridiques (CGV/Confidentialité/Mentions) relus.
$ cat angles-morts.txt
Les angles morts que ce bundle ferme.
Chaque ligne est un risque mesuré, pas un fantasme. Si tu reconnais ton stack dans une d'elles, c'est que ce bundle est pour toi.
Architecture emboîtée
Un starter empile tous les précédents
Les six starters ne sont pas six offres séparées : c'est une seule pile. B02contient l'intégralité des bundles précédents, chacun avec son périmètre, et y ajoute sa propre couche. Tu ne paies jamais deux fois la même brique.
$ tree B02/
Ce qu'il y a dans la boîte.
Chaque toolkit est livré avec son code, son runbook, et ses tests. Pas de SaaS caché, pas d'abonnement implicite — tu possèdes tout ce que tu déploies.
$ ls direct/ # ce que B02 ajoute en propre
$ mitre-attack --highlight B02
Les maillons verrouillés dans la kill-chain.
La chaîne MITRE ATT&CK décompose une attaque en 13 tactiques, de la reconnaissance à l'impact. Ce bundle rend impraticables les maillons surlignés ci-dessous — l'attaquant ne peut plus enchaîner.
$ mitre map --attack-to-defend B02
Chaque problème, sa contre-mesure.
Pour chaque technique d'attaque ATT&CK qui vise B02, la mesure concrète qu'il pose pour la neutraliser — risque à gauche, parade en face.
Un webhook Stripe non signé peut être rejoué : la livraison se déclenche autant de fois que l'attaquant le veut.
Signature HMAC vérifiée + table d'idempotence : un événement déjà vu est ignoré.
Un XSS via un formulaire mal échappé exfiltre la session de tes clients.
CSP stricte sans 'unsafe-inline' : le script injecté ne s'exécute pas.
Des cookies sans Secure/HttpOnly/SameSite=Strict se volent et détournent une session active.
Les trois attributs sont forcés sur chaque cookie de session : le vol par script ou réseau est coupé.
Sans secret de session robuste, un cookie de session se forge de toutes pièces.
Secrets de session robustes et rotatifs (Infisical) : un cookie forgé ne passe pas la vérification.
$ cat faq.md
Tu hésites ? Lis ça.
Et si j'ai déjà un site WordPress ?
Le bundle suppose une stack Next.js (livrée par B01). Si tu pars de WordPress, on parle de migration. Utilisable comme cible mais pas comme upgrade direct.
Les CGV / templates sont-ils relus par un avocat ?
Non — on n'est pas juristes et on ne prend pas cette responsabilité. Les templates livrés sont des points de départ techniquement propres (structure, balisage, mécanique de consentement, registre des traitements), mais le contenu juridique reste de ta responsabilité. Pour une activité réglementée (santé, finance, mineurs…) — et idéalement aussi pour les autres — fais relire par un cabinet. Le bundle te fait gagner les 80% de plomberie, pas l'expertise légale.
Je peux brancher autre chose que Stripe ?
Oui. Le pattern checkout-signé / webhook-vérifié / idempotence s'adapte à Lemon Squeezy, Paddle, etc. Stripe est l'implémentation de référence, les autres demandent ~2h d'adaptation.
Combien de temps depuis B01 ?
Compte 3 à 5 jours de travail pour empiler B02 sur B01 : la moitié pour le code, l'autre moitié pour les contenus juridiques et la configuration Stripe.
$ ./preorder --bundle B02
Pas encore en vente, mais réserve ta place.
Laisse-moi ton email — tu seras prévenu·e en priorité au lancement, avec une réduction pré-achat. Aucune newsletter, aucun spam : juste l'annonce du jour J.
B02te paraît trop, ou pas assez ?
// ou compare les 6 starters d'un coup d'œil sur le tableau de couverture