Sécurité

Authentification

Chaque connexion utilise un mot de passe plus un second facteur. Les passkeys WebAuthn (matérielles ou plateforme) sont obligatoires pour les rôles owner/admin. Les sessions sont stockées en base et révocables individuellement.

Authentification step-up

Les actions sensibles (rotation du secret webhook, retraits, ajout d’une nouvelle passkey) déclenchent un challenge WebAuthn supplémentaire. Aucune action critique ne passe sans confirmation matérielle.

Chiffrement

TLS 1.3 partout. Données au repos chiffrées en AES-256-GCM. Les clés vivent dans HashiCorp Vault sur notre stack bare-metal. Rotation trimestrielle, audit annuel.

Webhooks signés

HMAC-SHA256 sur le corps brut de la requête. Timestamp anti-rejeu. Rotation de secret en un clic avec grace period 24 h. Retries exponentiels (5 tentatives sur 24 h), dead-letter inspectable depuis le backoffice.

Infrastructure

Bare-metal France (HostMyServers, Roubaix). BGP anycast 10 Gbit/s, mitigation DDoS L3/L4/L7. Datacenter Tier IV avec NOC 24/7. Pas de cloud US, pas d’AWS, pas de GCP. Zéro dépendance étrangère.

Programme bug bounty

Nous récompensons la divulgation responsable. Périmètre, règles et paiements : /security/bug-bounty. Critique = jusqu’à 10 000 €.

Audits

• Pentest externe annuel (Synacktiv).
• SOC 2 Type II — audit Q4 2026.
• Audit Halborn — adaptateur runtime gRPC.