Notre propre sécurité
Nous avons construit ceci comme nous disons à nos clients de construire
Tous les cabinets de notre métier écrivent « sécurité dès la conception » sur une diapositive. Cette page en est la version vérifiable : comment ce site est assemblé, où les données se trouvent, et ce qui manque encore.
Pourquoi publier cela
Deux de nos trois piliers sont difficiles à prouver dans une proposition. La sécurité dès la conception et la protection des données dès la conception sont des décisions prises tôt, à des endroits que le client ne voit jamais, et le temps que quiconque puisse les auditer, les choix sont faits depuis longtemps.
Nous publions donc les nôtres. L’essentiel de ce qui suit se vérifie depuis votre navigateur en moins d’une minute, sans rien nous demander. Là où une affirmation ne se vérifie pas de l’extérieur, nous le disons.
Ce que vous pouvez vérifier vous-même
Une politique de sécurité du contenu à nonce, pas à joker
Les scripts ne s’exécutent que depuis cette origine, avec une valeur aléatoire émise à chaque requête, plus les deux tiers nommés ci-dessous. Aucun script en ligne sans cette valeur, aucun eval, rien dans un cadre, et les formulaires ne postent que chez nous.
Aucun cookie sur les pages publiques
Pas un seul. La langue vit dans l’adresse et non dans un cookie, et il n’y a pas de bandeau de consentement parce qu’il n’y a rien à consentir. Le seul cookie que ce site puisse poser est celui de la session de l’espace client, et il n’existe qu’une fois un client connecté.
Un transport verrouillé
Transport strict pendant deux ans, sous-domaines compris, inscrit sur la liste de préchargement. Aucun contenu mixte : tout ce que les pages chargent vient de cette origine, polices et images comprises.
Les fonctions du navigateur coupées
Caméra, micro, géolocalisation, paiement, capteurs de mouvement et publicité par centres d’intérêt sont tous refusés par politique, parce qu’un site de présentation n’en a aucun besoin.
Où les données se trouvent réellement
Un serveur, en Europe
Le site, l’espace client, le serveur de messagerie et la mesure d’audience tournent sur une seule machine située dans l’Union européenne. Rien n’est confié à une plateforme que nous ne maîtrisons pas.
Les données de mission en Europe par défaut, ailleurs si vous le demandez
Documents, preuves et constats de votre mission restent dans l’Union européenne, sauf si vous exigez une autre juridiction. Dites-le au cadrage et nous hébergeons en conséquence, ou nous travaillons entièrement dans votre propre environnement.
Une mesure d’audience que nous hébergeons, sans cookie
Les pages vues sont comptées par Umami sur notre propre serveur. Aucun cookie, aucun identifiant inter-sites, aucun profil, aucun compte d’analytique tiers détenant votre visite.
Une messagerie chiffrée sur notre serveur
Le serveur Matrix derrière nos canaux chiffrés est le nôtre. Les messages d’un salon chiffré le sont de bout en bout, donc leur contenu n’est pas lisible sur le serveur non plus, ni par nous ni par qui s’en emparerait.
Deux tiers, nommés
Cloudflare Turnstile vérifie qu’un formulaire a été rempli par une personne, et Brevo achemine le courriel que nous vous envoyons. Ce sont les seuls services extérieurs sur le trajet, et tous deux figurent dans la politique de confidentialité.
Des sauvegardes chiffrées, trente jours
La base, les documents et le serveur de messagerie sont sauvegardés chaque nuit, chiffrés au repos avec une clé qui ne se trouve pas elle-même dans la sauvegarde, et conservés trente jours.
L’espace client, en détail
Aucun mot de passe
La connexion se fait par un lien à usage unique envoyé à une adresse connue. Il fonctionne une fois, expire en quinze minutes et est stocké haché, donc la base ne contient rien de rejouable.
Des liens de téléchargement qui appartiennent à une personne
Chaque lien nomme le document, le lecteur et une expiration, et il est signé. Il ne peut être pointé vers un autre fichier, attribué à quelqu’un d’autre, ni utilisé au-delà de dix minutes.
Un code à six chiffres sur les documents confidentiels
Pour un document marqué confidentiel, aucun lien de téléchargement n’est affiché. Un code part vers l’adresse du lecteur, cinq erreurs le tuent, et le lien n’existe qu’une fois le code juste.
Chaque copie est marquée
Un PDF confidentiel porte, sur chaque page, l’adresse à laquelle il a été remis et la date. Une copie qui fuit nomme sa source.
Une piste d’audit que vous pouvez demander
Connexions, refus, codes envoyés et confirmés, téléchargements : tout est journalisé et exportable. La liste de vos sessions ouvertes aussi, et vous pouvez y mettre fin vous-même.
Ce que nous ne faisons délibérément pas
Aucun pixel publicitaire ni de suivi
Aucune régie, aucun widget social, aucune balise de reciblage, aucun script de notation de prospects qui regarde les pages que vous lisez.
Aucun rejeu de session
Nous n’enregistrons ni votre souris, ni vos frappes, ni votre écran. Les outils qui le font sont courants sur les sites de conseil et nous paraissent difficiles à concilier avec une politique de confidentialité.
Aucun réseau de diffusion ne lit votre trafic
Les pages sont servies par notre propre serveur. Aucun intermédiaire ne termine la connexion pour accélérer un site de cette taille.
Aucun procédé trompeur dans les formulaires
Une case de consentement, décochée, qui fait ce qu’elle dit. Nous ne pré-cochons pas, nous n’enfouissons pas, et nous ne réclamons pas un numéro de téléphone pour vous envoyer un document.
Vous avez trouvé une vulnérabilité ?
Dites-le-nous. Nos coordonnées sont publiées dans /.well-known/security.txt, à l’endroit qu’un chercheur regarde en premier.
Ce à quoi nous nous engageons : un accusé de réception sous deux jours ouvrés, un correctif ou un plan sous trente jours, un crédit si vous le souhaitez, et aucune action en justice contre qui signale de bonne foi sans dégrader le service ni toucher aux données des clients.
Ce que nous demandons : pas de balayage automatisé qui affecte la disponibilité, aucune ingénierie sociale sur qui que ce soit, et aucun accès à des données qui ne sont pas les vôtres. Signalez-les, ne les gardez pas.
Ce que nous n’avons pas fait
Aucun audit externe de ce site
Tout ce qui précède est notre propre travail, vérifié par nous. Aucun tiers ne l’a examiné. Quand ce sera le cas, les constats seront publiés ici, refermés ou ouverts.
Nous ne sommes pas nous-mêmes certifiés
Nous menons des clients jusqu’à l’ISO 27001 et nous ne l’avons pas. À notre taille, la réponse honnête est que le certificat coûterait plus qu’il ne vous apprendrait, et nous le dirons tant que ce sera vrai.
Un serveur reste un serveur
Il n’y a pas de second site ni de bascule automatique. Les sauvegardes sont chiffrées et tenues hors du chemin de production, mais elles sont sur la même machine : la perte totale du serveur est un scénario réel, que nous avons chiffré et accepté plutôt que résolu.
Vous voulez cela sur votre propre construction ?
Modélisation des menaces dès la conception, analyse d’impact avant le premier enregistrement stocké, et exigences de sécurité écrites dans le périmètre plutôt que découvertes à la fin.