# Modèle de sécurité

Formerie considère le navigateur comme un point d’entrée non fiable. L’API de
l’environnement d’exécution garde la responsabilité de l’acheminement, des
identifiants des fournisseurs, des gabarits, des règles de livraison, de la
politique de validation et de l’acceptation des soumissions.

## Frontière du client

Les clients navigateur soumettent seulement :

- les valeurs des champs du formulaire
- les jetons de vérification humaine lorsqu’ils sont requis
- des métadonnées sûres provenant de votre site, comme l’URL de la page ou une clé
  d’idempotence

Les clients navigateur ne soumettent jamais de destinataires, d’identifiants de
fournisseurs, de noms de fournisseurs, d’identités d’expéditeur, de gabarits de
courriel, de règles de livraison ni de règles de validation côté serveur.

## Schéma public

Le point de terminaison du schéma public est une projection par liste
d’autorisation du formulaire géré côté serveur. Il peut exposer les libellés des
champs, les types, les indications de validation, les étapes publiques, les règles
de visibilité conditionnelle et les paramètres de vérification sans danger pour le
navigateur. Il n’expose pas la configuration de la livraison, les secrets, les
origines autorisées, les fournisseurs de relève, les règles de limite de débit ni
les signaux de risque internes.

## Configuration gérée par le serveur

Chaque formulaire d’un espace de travail est associé à une configuration gérée par
le serveur avant la validation et la livraison. Les détails sensibles du traitement
restent ainsi à l’écart du balisage public, des pages hébergées, des intégrations et
des bundles du SDK.

## Historique de livraison

Chaque soumission et ses tentatives de livraison peuvent être consultées dans
l’application client.