Sécurité

La sécurité n'est pas une fonctionnalité optionnelle : elle est intégrée à toutes les étapes de la conception, du développement et de l'exploitation du service. Cette page documente nos choix techniques de manière transparente et s'abstient volontairement de toute affirmation non vérifiable.

Nous suivons les recommandations de l'ANSSI, les bonnes pratiques de l'OWASP et nous alignons progressivement nos processus sur les exigences des référentiels reconnus (SOC 2, ISO 27001) sans en revendiquer la certification à ce jour.

En transit

• Toutes les communications utilisent TLS 1.2 ou 1.3 (aucune connexion HTTP non chiffrée acceptée) ;
• En-tête Strict-Transport-Security (HSTS) avec une durée d'un an, forçant le navigateur à n'utiliser que HTTPS ;
• Certificats TLS gérés via Cloudflare avec renouvellement automatique.

Au repos

• Les mots de passe utilisateurs sont hachés avec bcrypt (algorithme à sel unique, résistant au brute-force) et ne sont jamais stockés en clair ;
• Les identifiants OAuth des connecteurs MCP (Slack, Google Drive, etc.) sont chiffrés applicativement avant insertion en base de données ;
• Les volumes disques sont hébergés sur l'infrastructure Contabo, couverte par les mesures de protection physique et logique du prestataire.

• Mots de passe hachés via bcrypt avec mitigation des attaques temporelles (temps de réponse constant pour comptes existants et inexistants) ;
• Sessions basées sur des jetons JWT signés : jeton d'accès avec une durée de vie de 12 heures ; jeton de rafraîchissement avec une durée de vie de 7 jours ; jeton de réinitialisation de mot de passe avec une durée de vie de 15 minutes ;
• Security stamp : un identifiant de session interne permet d'invalider immédiatement tous les jetons émis en cas de changement de mot de passe ;
• Cookies de session marqués HttpOnly, Secure et SameSite ;
• Protection CSRF par Double Submit Cookie Pattern sur toutes les opérations authentifiées par cookie.

• En-têtes de sécurité HTTP configurés en production : Content-Security-Policy stricte (aucun unsafe-inline ni unsafe-eval), X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, et une Permissions-Policy désactivant les API sensibles (caméra, micro, géolocalisation) ;
• Injection SQL : impossible par construction grâce au query builder qui paramètre systématiquement toutes les requêtes ;
• Cross-Site Scripting (XSS) : échappement natif du rendu frontend, sanitisation du contenu Markdown avant rendu, CSP restrictive ;
• Limitation de débit (rate limiting) sur les endpoints publics sensibles (connexion, inscription, recherche) par utilisateur, organisation et adresse IP ;
• Validation stricte des entrées utilisateur côté serveur via les spécifications OpenAPI 3 (contrats typés générés, rejets automatiques des payloads non conformes) ;
• Dépendances : analyse statique continue, vérifications de sécurité automatisées dans le pipeline CI.

• Sauvegardes journalières complètes de l'environnement serveur réalisées automatiquement par le service de sauvegarde de Contabo ;
• Sauvegardes stockées sur l'infrastructure de notre hébergeur en Union Européenne ;
• Procédure de restauration testée périodiquement sur environnement de pré-production.

• Métriques applicatives collectées pour détecter les anomalies de fonctionnement (latence, erreurs, quotas) ;
• Traçage LLM pour l'observabilité des appels aux modèles d'IA et la détection des dérives de coût ou de latence ;
• Journal d'audit : toute action sensible (connexion, modification de rôle, invitation, suppression, déclenchement d'outil) est enregistrée avec horodatage, identifiant utilisateur et organisation. Les paramètres d'outils sont projetés de manière sanitisée pour exclure les données personnelles ;
• Alertes automatisées sur les événements de sécurité critiques (échecs d'authentification répétés, dépassements de quota, erreurs serveur).

La liste exhaustive de nos sous-traitants (fournisseurs d'hébergement, de modèles d'IA, de paiement, de distribution) et les garanties contractuelles associées (Clauses Contractuelles Types, DPA) est publiée dans notre Politique de Confidentialité.

Notification des violations de données

Conformément à l'article 33 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes concernées :

• Notification à la CNIL dans un délai maximum de 72 heures après la prise de connaissance de l'incident ;
• Information individuelle des utilisateurs concernés dans les meilleurs délais lorsque le risque est élevé ;
• Communication publique transparente sur cette page en cas d'incident significatif.

Nous communiquons publiquement les chantiers de sécurité en cours et à venir, par souci de transparence et pour refléter l'évolution continue du service.

• En cours — Rotation des jetons de rafraîchissement : implémentation du refresh token rotation avec détection de réutilisation et révocation automatique de la chaîne en cas d'anomalie ;
• Planifié — Chiffrement applicatif des conversations en base : extension du chiffrement AES-256-GCM, déjà appliqué aux identifiants MCP, au contenu des sessions de discussion avec les Agents IA ;
• Objectif — Authentification multi-facteur (TOTP / passkeys) : introduction d'un second facteur d'authentification facultatif puis obligatoire pour les rôles administrateurs ;
• Objectif — Audit externe et test d'intrusion : réalisation d'un audit de sécurité par un prestataire indépendant avant le passage en phase commerciale étendue ;
• Objectif — Alignement progressif sur SOC 2 et/ou ISO 27001 : structuration des politiques et procédures internes en vue d'une future certification, pilotée par la demande des premiers clients entreprise.

Documents associés