Sécurité

Mesures techniques et organisationnelles mises en œuvre par Effaceur.

Authentification

Mots de passe hachés (Argon2), sessions signées, cookies HttpOnly / SameSite, option « garder la session », authentification Google OAuth lorsque configurée.

Chiffrement au repos & destruction

Jetons de boîte mail, secrets d’intégrations, critères de recherche web et preuves (URL / extraits) sont chiffrés au repos (AES-256-GCM, clé dédiée). Les journaux par outil de découverte sont d’abord redactés, puis chiffrés.

Minimisation : hors données d’authentification du compte, les artefacts opérationnels (scans, preuves, lots terminés) sont purgés automatiquement après une fenêtre courte. À la suppression du compte, toutes les données applicatives sont détruites.

Protection applicative

• HTTPS en production
• En-têtes de sécurité (Helmet / CSP)
• Protection CSRF sur les formulaires
• Limitation de débit sur les routes sensibles
• Isolation multi-utilisateur sur jobs et détections (filtre userId)
• Protection SSRF sur les fetchs / navigations vers URLs externes (blocage IP privées, metadata, redirections dangereuses)
• Journaux : minimisation (pas de secrets ni d’e-mails en clair dans les logs worker)

Principe de moindre privilège

Aucun envoi de demande d’effacement sans validation explicite. Vous restez maître de chaque action depuis votre espace. Le worker n’exécute que des jobs issus des files internes (Redis) avec des identifiants déjà autorisés côté application.

Ces mesures techniques réduisent des risques ; elles ne certifient pas à elles seules la conformité réglementaire.

Signalement

Pour signaler une vulnérabilité de sécurité, contactez l’éditeur via les mentions légales.