Ce que nous avons mesuré

Un cookie que nous ne posons pas, et que vous verrez. Les réponses de api.pruvue.com portent un cookie __cf_bm déposé par la protection anti-robots de la plateforme d’hébergement du moteur, et non par le moteur : celui-ci n’en pose aucun. Il est HttpOnly, SameSite=None, Secure, d’une durée d’environ trente minutes. Mesuré plutôt qu’affirmé, et vérifiable dans les outils de développement : les appels de ce site et de l’application sont faits sans identifiants, le moteur refusant par ailleurs toute requête avec identifiants, de sorte que votre navigateur ne conserve pas ce cookie lors de ces appels ; si vous ouvrez vous-même l’adresse api.pruvue.com dans un onglet, votre navigateur le conservera, pour la durée indiquée. Nous ne pouvons pas configurer cette protection.

Ce que le formulaire de Razorpay dépose, mesuré. Sur la page de paiement, et sur elle seule, le script de Razorpay écrit trois choses dans votre navigateur, sous notre propre domaine pruvue.com et non sous le sien : un cookie rzp_unified_session_id, posé par le script et non par un en‑tête de réponse, d’une durée d’environ trente minutes ; deux entrées de stockage local, rzp_device_id et rzp_checkout_anon_id, qui restent jusqu’à ce que vous effaciez les données du site ; et une entrée de stockage de session, __rzp_risk, qui disparaît à la fermeture de l’onglet. Mesuré sur un chargement réel, avec un essai témoin script bloqué où le navigateur ne conserve rien : tout ce qui précède vient de Razorpay. Le formulaire de paiement lui‑même n’a pas encore pu être ouvert, faute de clé publiable ; ce qu’il dépose en plus sera mesuré et écrit ici avant la première vente.