Question légitime. Le seul truc que je peux prouver c'est le code source (public, lisible). Pour le reste tu dois me faire confiance sur parole, ou montrer le code à un pote qui code pour qu'il vérifie. Voilà ce qui se passe d'après le code :

• Ton mot de passe passe par le serveur une seule fois, le temps que je me connecte à PASS et à Moodle à ta place pour récupérer un cookie de session. Juste après, il est effacé de la mémoire.
• Il n'est jamais écrit — pas en base, pas dans les logs applicatifs, pas dans les logs du reverse proxy (désactivés dans la config).
• Seul le cookie de session IMT est gardé dans Redis, pour te reconnecter automatiquement pendant 24h. À la déconnexion il est supprimé.
• L'idéal côté sécurité serait d'utiliser le flow CAS officiel d'IMT (comme quand tu te connectes à Moodle) — tu taperais tes creds sur le vrai site IMT et rien ne passerait par moi. Sauf que la DISI a pas whitelisté l'app, donc c'est pas possible aujourd'hui.

Si t'as un doute : utilise le PASS officiel. C'est moche mais ça marche. Ou héberge ta propre instance depuis le repo.