Sécurité dès la conception

La sécurité dès la conception (security by design) signifie que nous n'ajoutons pas la sécurité après coup ; nous l'intégrons dès le départ dans l'architecture, le développement et l'exploitation. Nos principes sont les mêmes dans toutes les langues et régions : confiance par la transparence, prévention avant réaction et amélioration continue.

Nous concevons et exploitons la plateforme pour que la disponibilité, l'intégrité et la confidentialité de vos données soient garanties. Nous utilisons des techniques et normes éprouvées et, lorsque c'est possible, nous nous alignons sur des cadres reconnus comme l'ISO/CEI 27001, sans prétendre que nous sommes nous-mêmes entièrement certifiés.

Le réseau est construit en deux couches : le réseau edge et le réseau de calcul. Ensemble, ils assurent vitesse, sécurité et scalabilité.

Flux du trafic : Les requêtes entrantes atteignent d'abord le réseau edge, réparti dans de nombreuses localisations dans le monde. Chaque requête est acheminée vers le point edge le plus proche. Elle y subit la mitigation DDoS et le Web Application Firewall (WAF). La réponse est soit servie depuis le cache edge (contenu statique), soit transmise au réseau de calcul où tourne votre application.

Cache edge : Les actifs statiques (CSS, JavaScript, images) sont mis en cache au edge. Cela réduit la charge sur l'application et la latence pour les utilisateurs. Le cache est automatiquement purgé à chaque déploiement pour éviter de servir des fichiers obsolètes. Vous pouvez définir vos propres en-têtes Cache-Control et Expires ; ils sont respectés.

Réseau de calcul : L'application s'exécute dans un réseau privé et n'est pas directement accessible depuis l'internet public. L'accès ne se fait que via le réseau edge. Le calcul est réparti sur plusieurs zones de disponibilité (multi-AZ) pour la stabilité et une récupération rapide en cas de panne. Le trafic est réparti en charge sur les instances disponibles (load balancing).

Trafic sortant : Les requêtes sortantes de la plateforme utilisent des adresses IP fixes par région, disponibles pour l'allowlisting auprès des pare-feux, groupes de sécurité ou services externes que votre application doit appeler.

Le trafic vers et depuis la plateforme transite par un réseau edge mondial. Cela permet :

• Une protection DDoS aux couches réseau (L3/L4) et application (L7), avec détection et mitigation automatiques des attaques par déni de service distribué.
• Un pare-feu d'applications web (WAF) avec des jeux de règles alignés sur l'OWASP Top 10. Le trafic est filtré avant d'atteindre votre application.
• Un chiffrement SSL/TLS pour toutes les connexions. Optionnel : Strict-Transport-Security (HSTS) pour imposer le HTTPS.
• Des en-têtes de sécurité sur chaque réponse : X-Frame-Options (contre l'abus par iframe), X-Content-Type-Options: nosniff (contre la confusion de type MIME).
• Gestion des bots : pour certains types de trafic automatisé (crawlers, monitoring), un défi JavaScript peut être présenté ; les utilisateurs légitimes passent.
• Limitation de débit : limitation du nombre de requêtes par IP et par fenêtre de temps, avec des actions (défi, throttling, blocage temporaire) pour prévenir les abus. Des restrictions supplémentaires peuvent s'appliquer en cas de réponses d'erreur répétées (4xx) ou de dépassement de limite.
• Mode sous attaque : en cas de DDoS L7 sévère ou de pics de trafic suspects, une couche de sécurité supplémentaire peut être activée. Les visiteurs voient brièvement une page de vérification et doivent réussir un défi JavaScript ; le trafic valide est autorisé, le trafic suspect ou automatisé est bloqué. Ce mode expire automatiquement après une période définie.

Au niveau applicatif, nous mettons en œuvre notamment :

• Des règles de sécurité gérées mises à jour face aux nouvelles menaces, incluant une protection zero-day lorsque fournie par les services sous-jacents.
• Une détection des abus (identifiants divulgués, téléversements malveillants, exposition de données sensibles).
• Des analytics de sécurité pour analyser le trafic bloqué et mitigé et affiner la configuration.

Lorsque c'est possible, nous nous alignons sur la threat intelligence et les bonnes pratiques actuelles pour limiter les menaces de manière proactive.

L'application s'exécute dans un environnement isolé et géré de manière professionnelle. Les caractéristiques incluent :

• Une infrastructure dédiée : propre capacité de calcul, réseau et mise à l'échelle selon les besoins, pour des performances prévisibles et sans « voisins bruyants ».
• Un réseau privé : l'application n'est accessible que via le réseau edge, pas directement depuis l'internet public. Connectivité aux services de support lorsque possible via des réseaux privés, pour une latence réduite et une exposition limitée.
• Des adresses IP sortantes statiques par région, pour faciliter le whitelisting, la traçabilité et la conformité.
• Une haute disponibilité avec basculement automatique : plusieurs nœuds sur des zones de disponibilité et répartition de charge sur toutes les instances lors d'un scale horizontal.

L'environnement est conçu en pensant à la conformité : calcul isolé, surface d'attaque réduite et exploitation selon les bonnes pratiques.

Les données personnelles et autres informations sensibles sont protégées par :

• Un chiffrement en transit (comme décrit ci-dessus) et, le cas échéant, un chiffrement au repos pour les données stockées.
• Un contrôle d'accès strict et le principe du moindre privilège : uniquement ce qui est nécessaire à la tâche.
• Une journalisation et une surveillance pour détecter et enquêter sur les incidents.

Nous connaissons l'ISO/CEI 27001 (systèmes de management de la sécurité de l'information) et appliquons les principes et mesures de contrôle qui y sont décrits lorsque c'est réalisable et pertinent dans notre architecture et notre prestation de services—notamment la gestion des risques, le contrôle d'accès, la cryptographie et l'amélioration continue de la sécurité.

Nous ne prétendons pas être entièrement certifiés ISO 27001 en tant qu'organisation ; nous prenons la norme au sérieux et agissons en conséquence lorsque nous le pouvons. Pour des questions de conformité spécifiques (p. ex. accords de traitement ou audits), contactez-nous.

La sécurité n'est pas une étape ponctuelle mais un processus continu. Nous surveillons les menaces, ajustons les configurations et règles et utilisons des processus de développement et de release sécurisés. En cas d'incident, nous suivons des procédures claires de communication et de reprise.

Pour toute question sur notre approche ou pour plus de détails techniques ou juridiques, contactez-nous.

Nous nous engageons pour une plateforme sûre et conforme. Nous nous alignons sur des cadres reconnus sans prétendre détenir nous-mêmes toutes les certifications associées.

SOC 2 Type 2 est un cadre (développé par l'AICPA) qui se concentre sur la façon dont les services restent sécurisés et protègent les données des clients. Il comprend cinq Trust Services Categories avec des critères de sécurité, confidentialité, disponibilité et plus. L'infrastructure et les processus sur lesquels repose la plateforme sont, lorsque pertinent, conçus selon les mêmes principes : Security, Confidentiality et Availability.

ISO/CEI 27001 est la norme internationalement reconnue pour les systèmes de management de la sécurité de l'information (SMSI). Comme décrit dans la section Normes et conformité, nous appliquons les principes et contrôles qui y sont décrits lorsque c'est réalisable et pertinent dans notre architecture.

Ce que cela signifie pour vous :

• Sécurité des données : protection de vos données contre l'accès, l'utilisation, la divulgation, la perturbation, la modification ou la destruction non autorisés.
• OWASP Top 10 : le trafic via notre réseau edge est filtré avec des jeux de règles alignés sur l'OWASP Top 10 (injection, authentification, exposition de données, etc.) avant d'atteindre votre application.
• Disponibilité : engagement pour le fonctionnement continu de la plateforme et la minimisation des indisponibilités.
• Confidentialité : maintien de la confidentialité de vos données et prévention de l'accès non autorisé.
• Conformité : respect des bonnes pratiques et des réglementations applicables.

Nous tenons cette page à jour. Pour toute question sur notre conformité ou notre sécurité, contactez-nous.