Comment nous concevons la sécurité
Nous considérons la sécurité comme une propriété fondamentale du produit, et non comme une fonctionnalité ajoutée. Cela signifie : des paramètres par défaut sûrs, des configurations minimales, des dépendances maintenues à jour, et un accès accordé selon les besoins plutôt que par commodité. Les mêmes ingénieurs qui mettent en production les fonctionnalités gèrent également les implications de sécurité de celles-ci.
Cette page résume ce que nous faisons — les certifications que nous détenons, l'emplacement des données, la protection des paiements, et la manière de signaler une vulnérabilité si vous en trouvez une.
Certifications et conformité
Nous sommes tenus de respecter les cadres suivants et réalisons des audits en conséquence :
- GDPR — conformité totale avec le Règlement général sur la protection des données de l'UE, incluant une politique de confidentialité publiée, un registre documenté des activités de traitement et un contact désigné pour la protection des données.
- PCI DSS — les données de paiement sont traitées exclusivement par Stripe, qui est certifié PCI Level 1. Nous ne voyons, ne stockons ni ne transmettons jamais de numéros de cartes bruts.
- ISO 27001 — nos fournisseurs d'hébergement et de plateforme sont certifiés ; notre système interne de gestion de la sécurité de l'information applique les mêmes contrôles.
- SOC 2 Type II — réalisé annuellement pour la plateforme accessible aux clients.
Les copies des certificats sont disponibles sur demande via la page de contact.
Chiffrement en transit et au repos
Tout le trafic vers et depuis le site utilise TLS 1.3 ; les anciens protocoles sont désactivés au niveau du répartiteur de charge. HSTS est appliqué avec une liste de préchargement afin que les navigateurs refusent de se connecter en HTTP en clair après la première visite.
Les données au repos dans notre base de données et notre stockage d'objets sont chiffrées avec AES-256. Les clés de chiffrement sont gérées par le KMS du fournisseur cloud ; aucun ingénieur ne détient de clé en clair à longue durée de vie.
Contrôles d'accès
L'accès à la production est restreint à un petit nombre d'ingénieurs nommés. L'authentification s'effectue via SSO avec MFA obligatoire — généralement une clé de sécurité matérielle. Il n'y a aucun compte partagé ni de mot de passe statique pour les comptes de service ; chaque identifiant à longue durée de vie est automatiquement renouvelé.
Toute action sur les données de production est journalisée avec l'acteur, l'heure et l'enregistrement affecté. Les journaux sont immuables et conservés pendant 12 mois.
Sécurité des paiements
Tous les paiements transitent par Stripe (et, pour les acheteurs polonais, Przelewy24). Les deux sont des processeurs de paiement certifiés PCI-DSS. Le formulaire de carte est affiché dans leur sandbox afin que les données de carte ne touchent jamais nos serveurs ; nous ne recevons qu'une référence tokenisée.
Nous activons 3-D Secure 2 par défaut et nous nous appuyons sur le moteur de risque de Stripe ainsi que sur nos propres règles de vélocité pour signaler les tentatives frauduleuses. Les remboursements sont réacheminés via la méthode originale sans manipulation manuelle des données de carte.
Vos données
Nous collectons le minimum requis pour traiter une commande : nom, adresse de facturation, e-mail, référence de paiement. Nous ne vendons jamais de données personnelles à qui que ce soit. Nous n'incorporons pas de traceurs publicitaires tiers.
En vertu du GDPR, vous avez le droit d'accéder à vos données, de les corriger, de les exporter ou de les supprimer. La politique de confidentialité explique comment exercer ces droits et la durée de conservation de chaque catégorie de données.
Divulgation responsable
Si vous pensez avoir découvert un problème de sécurité, veuillez nous écrire via la page de contact et nous répondrons dans un délai d'un jour ouvrable. Indiquez-nous la nature du problème, son emplacement et comment le reproduire. Nous n'exécutons actuellement pas de programme de primes aux bugs (bug bounty) rémunéré, mais nous créditerons les reporters qui suivent une divulgation responsable sur notre page publique de remerciements.
Nous vous demandons de ne pas effectuer de tests sur les comptes d'autres utilisateurs, de ne pas exécuter de scanners automatisés sur la production et de ne pas divulguer publiquement un problème avant que nous ayons eu la chance de le corriger.