Sécurité dès la conception

La sécurité dès la conception signifie que nous intégrons la sécurité dès le départ, dans l'architecture, le développement et l'exploitation, au lieu de l'ajouter après coup. Nous partons de trois principes : la confiance par la transparence, la prévention avant la réaction et l'amélioration continue.

Sur cette page, nous ne décrivons que des mesures que nous pouvons démontrer dans notre code ou dans la documentation de notre hébergeur. Lorsqu'une mesure n'est pas en place, nous le disons.

CoachBall fonctionne sur Laravel Cloud, une plateforme d'hébergement gérée reposant sur l'infrastructure d'Amazon Web Services (AWS), avec le réseau Cloudflare en amont.

Réseau edge : chaque requête arrive d'abord sur le site Cloudflare le plus proche. Elle y passe par l'atténuation DDoS et un pare-feu applicatif web (WAF) avant d'être transmise à l'application. Les fichiers statiques comme le CSS, le JavaScript et les images sont mis en cache en périphérie, et ce cache est vidé à chaque déploiement.

Réseau de calcul : l'application tourne dans un réseau privé et n'est accessible que via le réseau edge, jamais directement depuis Internet.

• Protection DDoS : les attaques par saturation et par amplification sont absorbées en périphérie avant d'atteindre l'application.
• Pare-feu applicatif web : l'OWASP Core Ruleset de Cloudflare filtre les attaques courantes, comme l'injection, avant qu'elles n'atteignent l'application.
• Connexions chiffrées : tout le trafic passe par HTTPS (TLS), avec des certificats renouvelés automatiquement.
• En-têtes de sécurité : nos pages envoient une Content Security Policy qui limite les domaines externes depuis lesquels une page peut charger du contenu et empêche d'autres sites d'intégrer CoachBall, ainsi que X-Content-Type-Options: nosniff et une Referrer-Policy stricte.

• Les mots de passe sont stockés uniquement sous forme de hachage à sens unique (bcrypt). Personne ne peut les lire, nous non plus.
• Les tentatives de connexion sont limitées, pour qu'un mot de passe ne puisse pas être deviné indéfiniment.
• Les cookies sont chiffrés et chaque formulaire est protégé contre la falsification de requêtes intersites (CSRF).
• Accès par rôle : ce qu'une personne peut voir et faire dépend de son rôle dans l'équipe ou le club, par exemple coach, joueur ou parent.

Chaque connexion à CoachBall est chiffrée, et les photos et fichiers téléversés sont stockés chiffrés (AES-256) par notre fournisseur de stockage. Les mots de passe sont conservés sous forme de hachage à sens unique, et les jetons d'accès aux services connectés comme YouTube sont chiffrés dans notre base de données.

Nous n'affirmons pas que chaque donnée est chiffrée au niveau de l'application. Nous ne vendons jamais les informations des équipes, et vous pouvez supprimer votre compte et vos données à tout moment.

CoachBall n'est pas certifié ISO/IEC 27001 et ne dispose d'aucun rapport SOC 2. Nous utilisons les principes de ces normes comme guide, par exemple pour le contrôle d'accès, le chiffrement et la gestion des incidents.

Notre hébergeur Laravel Cloud est certifié ISO/IEC 27001 et dispose d'une attestation SOC 2 Type 2 pour la sécurité, la confidentialité et la disponibilité. Cela concerne la plateforme sur laquelle CoachBall fonctionne, pas CoachBall lui-même.

Pour des questions de conformité précises, comme un accord de traitement des données, contactez-nous.

La sécurité est un processus continu. Nous surveillons les erreurs et les journaux de l'application, mettons régulièrement à jour nos dépendances et vérifions notre code pour détecter les problèmes de sécurité. Quand nous trouvons un problème, nous le corrigeons et adaptons cette page si nécessaire.

Vous avez des questions sur notre approche ou besoin de détails techniques ou juridiques ? Contactez-nous.