Authentifier avant d'afficher les données du compte.
L'espace de travail du navigateur doit rester verrouillé jusqu'à ce que le serveur vérifie la réponse d'authentification du bureau. Un paramètre d'URL, une application ouverte ou un changement de focus du navigateur ne sont pas une preuve d'identité.
Gardez les autorisations explicites.
La session ne devrait accorder que l'accès demandé. Les actions sensibles nécessitent une confirmation distincte et les sessions expirées ou annulées ne doivent plus exposer les données du compte.
Gardez les secrets du portefeuille hors des formulaires Web.
Ce site ne demande jamais une phrase de récupération ou une clé privée. Utilisez la version de bureau vérifiée pour ses procédures de récupération et de gestion des clés prises en charge.