Ce qui a changé : Première version de la politique de sécurité.

Politique de sécurité

Mesures en place

Authentification et sessions

• Secrets de session à 256 bits, stockés uniquement sous forme d'empreinte.
• Cookies HttpOnly, Secure, SameSite.
• Jeton anti-falsification à double soumission sur toute action modifiante.
• Mots de passe de l'équipe hachés avec Argon2id.
• Authentification à deux facteurs obligatoire pour l'équipe, sessions de 2 heures.

Données

• Chiffrement en transit (TLS).
• Chiffrement des secrets applicatifs au repos (AES-256-GCM), avec identifiant de clé permettant la rotation.
• Adresses IP jamais stockées en clair.

Application

• Politique de sécurité du contenu stricte, sans script en ligne.
• Rendu des messages en texte pur, jamais en HTML interprété.
• Validation de schéma sur toutes les entrées, bornes de taille sur les corps de requête et les trames temps réel.
• Limitation de débit multi-dimensions (session, adresse, appareil).
• Contrôle d'origine sur les requêtes modifiantes et sur les connexions temps réel.

Contrôle d'accès

• Refus par défaut, permissions explicites, matrice auditable.
• Double validation pour les actions les plus graves.
• Journal d'audit en ajout seul, chaîné par empreinte cryptographique : une altération est détectable.

Médias

• Compartiments privés, aucune URL permanente, URL signées de 2 minutes.
• Analyse antivirus, vérification du type réel, réencodage serveur, suppression des métadonnées, avant toute diffusion.

Exploitation

• Sauvegardes chiffrées, tests de restauration.
• Journalisation structurée avec masquage automatique des secrets.
• Séparation des environnements et des clés.

Divulgation responsable

Si vous découvrez une vulnérabilité :

1. Écrivez au point de contact sécurité : [À COMPLÉTER].
2. Décrivez le problème et les étapes pour le reproduire.
3. Ne divulguez pas publiquement avant que le correctif soit déployé.
4. N'accédez pas à des données ne vous appartenant pas, et ne dégradez pas le service.

Nous nous engageons à accuser réception sous 5 jours ouvrés, à vous tenir informé et à ne pas engager de poursuites contre une recherche menée de bonne foi dans ce cadre.

Incidents

En cas de violation de données susceptible d'engendrer un risque, la CNIL est notifiée dans les 72 heures et les personnes concernées sont informées lorsque le risque est élevé.