Sécurité et mots de passe

zs-phone protège les comptes Cloud, Mail, Pixly, Chirp, Blaze, Flashly et DarkChat avec bcrypt. Les mots de passe ne sont jamais enregistrés ni envoyés dans les logs en clair.

Worker bcrypt intégré

Le calcul bcrypt est exécuté dans un worker Node séparé afin de ne pas bloquer le thread principal de FXServer. Le worker et ses dépendances sont livrés dans zs-phone et ne demandent aucune commande npm.

add_unsafe_worker_permission zs-phone

Avec la base KLMSTUDIO, le core inscrit cette permission automatiquement dans core/configs/panel_server.cfg et redémarre une seule fois pour l'appliquer.

Fonctionnement sans permission

Le téléphone ne bloque pas son démarrage. Il affiche un avertissement unique et revient aux fonctions bcrypt natives de FiveM. Les comptes restent sécurisés, mais une création de compte ou une connexion peut provoquer un hitch plus important.

Compatibilité des données

Les anciens et nouveaux hashes utilisent le format bcrypt. Une mise à jour :

• ne demande aucune migration SQL ;
• ne déconnecte pas les comptes existants ;
• ne demande pas aux joueurs de changer leur mot de passe.

Les anciens salons DarkChat dont le mot de passe était enregistré en clair sont migrés progressivement : après la première saisie correcte, la valeur est immédiatement remplacée par son hash bcrypt.

Bonnes pratiques

• N'affichez jamais les colonnes password dans un export ou une callback.
• Ne journalisez pas le contenu des formulaires de connexion.
• Ne réduisez pas la taille des colonnes de mot de passe.
• Sauvegardez la base avant toute manipulation manuelle.
• Gardez les artefacts FXServer à jour pour Node 22 et les workers.