Présentation de la sécurité

Identité et accès

• Mots de passe hachés avec bcrypt ; tentatives de connexion, d'inscription, de réinitialisation et de double authentification limitées.
• Double authentification par mot de passe à usage unique basé sur le temps (TOTP) avec codes de récupération ; les organisations peuvent l'imposer à tous leurs membres.
• Connexion avec Google ou Microsoft et authentification unique d'entreprise par organisation (OIDC ; SAML via une passerelle OIDC), avec domaines vérifiés et obligation facultative.
• Cinq rôles (propriétaire, administrateur, auteur, relecteur, apprenant) ; seuls les propriétaires peuvent accorder des droits d'administration.

Isolement des clients et sécurité applicative

• Chaque requête est autorisée côté serveur et chaque requête en base est limitée à l'organisation de l'appelant ; les ressources d'une autre organisation renvoient « introuvable ».
• Content-Security-Policy, HSTS, politiques de cadre, de référent et d'autorisations sur chaque page ; les fichiers servis depuis notre domaine sont isolés (sandbox).
• Les fichiers téléversés sont contrôlés selon leur type réel ; les SVG sont assainis ; les documents bureautiques sont contrôlés contre les bombes d'archives ; les requêtes sortantes ne peuvent pas atteindre les réseaux internes.
• Le texte enrichi présenté aux apprenants est assaini ; les paquets de cours exportés échappent les données intégrées.
• Les webhooks des prestataires de paiement sont vérifiés par signature ou revérifiés auprès du prestataire ; les lancements LMS (LTI 1.3) sont vérifiés par jetons signés, nonce et state.

Protection des données

• TLS pour toutes les connexions. Chiffrement au repos : CONFIRM ENCRYPTION AT REST. Secrets de double authentification et de SSO en outre chiffrés (AES-256-GCM).
• Un journal d'audit enregistre les connexions, les changements de rôle et de paramètres de sécurité, les exports et les suppressions de données.
• Export des données personnelles et suppression du compte en libre-service ; suppression d'organisation avec délai de grâce de 30 jours ; limites de conservation automatiques.
• Le contenu client n'est pas utilisé pour entraîner des modèles d'IA (voir la Politique d'utilisation de l'IA et des contenus pour chaque fournisseur).

Exploitation

• Les secrets de production sont conservés dans les variables d'environnement de la plateforme d'hébergement, jamais dans le code source.
• Les dépendances tierces sont contrôlées contre les vulnérabilités connues (npm audit) et mises à jour ou évaluées avant chaque mise en production.
• Sauvegardes et reprise : BACKUP POLICY.
• Certifications : nous ne détenons actuellement ni certification SOC 2 ni ISO/IEC 27001. Notre feuille de route de mise en conformité est disponible pour les clients sur demande.

Signaler une vulnérabilité

Merci de signaler toute vulnérabilité présumée à SECURITY EMAIL avec les étapes de reproduction. N'accédez pas aux données d'autres clients et ne les modifiez pas, ne dégradez pas le service et n'utilisez pas l'ingénierie sociale. Nous accusons réception sous SECURITY ACK DAYS jours ouvrés et n'engagerons pas de poursuites contre une recherche de bonne foi respectant ces règles.