La sécurité de vos données est une priorité pour nous. Nous suivons des standards de sécurité élevés pour l'ensemble de notre infrastructure, notamment via le chiffrement et le respect de recommandations reconnues. Dans un objectif de transparence et d'amélioration continue, vous trouverez ci-dessous une liste des mesures que nous mettons en place.
Nos applications sont hébergées sur des serveurs fournis par la société OVH SAS , au sein des gammes So you Start et OVH Private Cloud. Nos serveurs tournent sous Ubuntu 22.04. Les accès d'administration à ces serveurs sont réservés à un très petit nombre de personnes et exigent des techniques d'authentification fortes (clefs RSA obligatoires et désactivation des accès par mots de passe). Vous pouvez consulter le détail de notre configuration des accès SSH grâce au site Rebex SSH Check .
Sur nos serveurs, vos données sont sauvegardées chiffrées. Sur nos serveurs de la gamme OVH Private Cloud (fournis par OVH SAS), vos données sont enregistrées sur des partitions chiffrées par la technologie LUKS (nous utilisons la version cryptsetup 2.4.3).
Les données qui transitent entre votre terminal et nos serveurs applicatifs sont chiffrées, aussi bien à l'envoi qu'à la réception. Cela vous est confirmé par le cadenas dans la barre d'adresse de votre navigateur et l'URL qui indique l'utilisation d'HTTPS (dans notre cas, HTTP avec un chiffrement TLS 1.3).
Vous pouvez consulter le détail de notre configuration du chiffrement HTTPS grâce au site SSL Labs . Les certificats authentifiant nos serveurs sont fournis par Let's Encrypt , une autorité de certification automatisée et ouverte.
Nous redirigeons tout le traffic HTTP (port 80) en HTTPS (port 443) et avons mis en place le paramétrage HSTS pour indiquer à votre navigateur de faire de même.
OWASP est une communauté libre et ouverte travaillant sur la sécurité des applications web. Elle publie notamment une liste des dix risques de sécurité les plus critiques. Nous portons une attention particulière aux dix risques mentionnés dans la dernière version 2021 de cette liste.
L'utilisation et la bonne configuration de Laravel nous prémunissent aussi des attaques de type CSRF (un des dix risques de la version 2021 de la liste OWASP). En effet, tous nos points d'entrée générant une action (requêtes HTTP de type DELETE, POST, PUT ou UPDATE) exigent la présence d'un jeton lié à la session.
Nous faisons réaliser des tests d’intrusion chaque année afin d’évaluer la sécurité de nos infrastructures et applications. Nos derniers test d'intrusion (en boîte noire et en boîte grise) ont été conduits par la société Synetis en Janvier 2024.
Since the first release, we have been inviting our users and security researchers to report vulnerabilities they suspect or have identified. To do this, we follow the requirements of securitytxt.org (a proposed standard to allow websites to define their security policy). In particular, we have set up a dedicated contact address and we respond to all incoming messages.