Sécurité

Notre approche

La sécurité n’est pas une fonctionnalité. C’est la fondation. Nous avons conçu Simplest1 avec la sécurité comme principe central, pas comme une réflexion après coup.

Isolation des données

Les données de chaque client vivent dans leur propre base SQLite isolée. Cette architecture signifie :

• Aucune fuite de données entre clients n’est possible au niveau de la base.
• Une vulnérabilité chez un client ne peut pas exposer les données d’un autre.
• Vos données peuvent être exportées ou supprimées entièrement et indépendamment.

Chiffrement

• En transit : toutes les connexions utilisent TLS 1.3.
• Au repos : les sauvegardes vivent dans Cloudflare R2, qui chiffre les objets stockés.
• Mots de passe : nous utilisons des liens magiques ; il n’y a donc aucun mot de passe à voler ou à divulguer.

Authentification

Nous utilisons une authentification sans mot de passe par liens magiques :

• Aucun mot de passe à retenir, à réutiliser ou à se faire voler.
• Les liens magiques expirent après 15 minutes.
• Chaque lien ne peut être utilisé qu’une fois.
• Les sessions d’administration durent 30 jours et se terminent à la déconnexion ; « se déconnecter partout » les termine toutes d’un coup. Les sessions d’administration de la plateforme durent 24 heures.

Infrastructure

• Hébergé sur une infrastructure cloud durcie.
• Correctifs et mises à jour de sécurité réguliers.
• Protection DDoS activée.
• Règles de pare-feu limitant les accès inutiles.

Sécurité applicative

• Protection CSRF : tous les formulaires sont protégés par des jetons.
• Prévention XSS : toute sortie est échappée par défaut.
• Injection SQL : requêtes paramétrées partout.
• En-têtes de sécurité : HSTS, X-Frame-Options, nosniff, et politiques de referrer et de permissions.
• Limitation de débit : protection contre les attaques par force brute.

Sauvegardes

• Sauvegardes continues en streaming avec Litestream.
• Restauration à un instant donné.
• Sauvegardes stockées dans des lieux géographiquement séparés.
• Tests réguliers de restauration.

Réponse aux incidents

En cas d’incident de sécurité :

• Nous informerons les utilisateurs concernés sous 72 heures.
• Nous décrirons clairement ce qui s’est passé.
• Nous expliquerons quelles données ont été touchées.
• Nous décrirons les mesures prises pour éviter que cela se reproduise.

Divulgation responsable

Si vous découvrez une vulnérabilité, signalez-la à [email protected]. Nous apprécions la divulgation responsable et accuserons réception de votre signalement sous 48 heures.

Questions

Des questions ou des inquiétudes sur la sécurité ? Écrivez-nous à [email protected].