Aller au contenu
Ksaren

Sécurité

Un outil de sécurité se doit d’être exemplaire

Voici ce que nous faisons pour protéger vos données et celles de vos inscrits, et comment nous signaler une faille.

Mesures en place

Moins de données, mieux protégées

Aucune adresse en clair

Les adresses de vos inscrits ne sont jamais stockées ni journalisées en clair : seules des empreintes HMAC, propres à chaque client, sont conservées, puis purgées selon votre durée de conservation.

Comptes chiffrés

Les adresses de nos clients et prospects sont chiffrées (AES-256-GCM). La connexion se fait par lien magique à usage unique : aucun mot de passe à voler.

Clés API protégées

Les clés sont stockées sous forme d’empreinte, affichées une seule fois, révocables à tout moment, avec des droits séparés (check, admin).

Cloisonnement par client

Chaque donnée est rattachée à un client et filtrée à chaque requête : un client ne peut jamais lire les données d’un autre.

Navigateur verrouillé

Politique de sécurité du contenu stricte, HSTS, protection contre le clickjacking, cookies HttpOnly et SameSite=Strict, jeton anti-CSRF, contrôle de l’origine.

Limites et anti-robots

Limites de requêtes sur l’inscription, la connexion, les outils publics et l’API ; vérification anti-robots Cloudflare Turnstile sur les outils gratuits.

Administration restreinte

Console d’administration hors de toute navigation, mot de passe fort, double authentification et liste d’adresses IP autorisées, tentatives limitées.

Hébergement et sauvegardes

Hébergé dans l’Union européenne. Sauvegardes chiffrées de la base, stockées hors du serveur, avec un test de restauration documenté. Paiements traités par Stripe : aucune carte ne transite par nos serveurs.

Divulgation responsable

Vous avez trouvé une faille ?

Merci de nous l’écrire avant toute publication. Nous traitons chaque signalement sérieusement.

  • Décrivez la faille et la façon de la reproduire ; nous accusons réception sous 72 heures.
  • N’accédez pas aux données d’autres personnes au-delà du strict nécessaire pour démontrer le problème, et ne les conservez pas.
  • Pas de déni de service, d’ingénierie sociale ni de test sur nos prestataires (Stripe, Cloudflare, Brevo).
  • Laissez-nous un délai raisonnable (90 jours au plus) pour corriger avant de publier.
  • Nous ne poursuivons pas les chercheurs qui agissent de bonne foi en respectant ces règles, et nous les remercions publiquement s’ils le souhaitent.

Écrivez à [email protected]· security.txt