Sécurité

Authentification

Chaque connexion utilise un mot de passe plus un second facteur. Les passkeys WebAuthn (matérielles ou plateforme) sont obligatoires pour les rôles owner/admin. Les sessions sont stockées en base et révocables individuellement.

Authentification step-up

Les actions sensibles (rotation du secret webhook, retraits, ajout d’une nouvelle passkey) déclenchent un challenge WebAuthn supplémentaire. Aucune action critique ne passe sans confirmation matérielle.

Chiffrement

TLS 1.3 partout. Données au repos chiffrées en AES-256-GCM. Les clés vivent dans HashiCorp Vault sur notre stack bare-metal. Rotation trimestrielle, audit annuel.

Webhooks signés

HMAC-SHA256 sur le corps brut de la requête. Timestamp anti-rejeu. Rotation de secret en un clic avec grace period 24 h. Retries exponentiels (5 tentatives sur 24 h), dead-letter inspectable depuis le backoffice.

Infrastructure

Bare-metal en France (HostMyServers — datacenters de Lyon, Paris et Annecy). Réseau multi-opérateur redondant, mitigation DDoS, SLA 99,99 %. Pas de cloud US, pas d’AWS, pas de GCP. Zéro dépendance étrangère.

Programme bug bounty

Nous récompensons la divulgation responsable. Signalez une vulnérabilité à security@abyxo.app et nous revenons vers vous avec le périmètre, les règles et la récompense associée à votre signalement.

Audits

• Pentest externe annuel (Synacktiv).
• SOC 2 Type II — audit Q4 2026.
• Audit Halborn — adaptateur runtime gRPC.