Sécurité
La sécurité fait partie de notre façon de construire, pas d'une option. Voici ce que nous appliquons sur ce site, ce que nous mettons en place dans les applications de nos clients, et comment nous signaler un problème.
Ce site
- Site statique : pas de base de données, pas de comptes utilisateurs, pas de formulaire — donc rien à dérober côté serveur.
- HTTPS uniquement, avec des en-têtes de sécurité : politique de sécurité du contenu (CSP), protection contre l'intégration dans d'autres sites, Referrer-Policy et Permissions-Policy restrictives (caméra, micro et position désactivés).
- Aucun cookie ni traceur. Le détail des données traitées est dans la politique de confidentialité.
Les applications que nous développons et hébergeons
Chaque projet fait l'objet d'un cadrage sécurité adapté à ses données ; les engagements précis figurent dans le contrat. Nos pratiques de base :
- Chiffrement des échanges (TLS) et des données stockées.
- Accès au strict nécessaire : rôles et permissions, double authentification pour les comptes d'administration, accès journalisés.
- Secrets hors du code : clés d'API et mots de passe dans un coffre-fort de secrets, jamais dans l'application mobile.
- Paiements vérifiés côté serveur : chaque paiement Mobile Money est confirmé et vérifié par le serveur, jamais par le téléphone seul (voir notre article).
- Sauvegardes régulières et tests de restauration.
- Mises à jour des dépendances et correctifs de sécurité appliqués rapidement.
- Minimisation : nous ne collectons que les données nécessaires, et vous choisissez où elles sont hébergées.
- Incidents : en cas de violation de données, nous vous prévenons sans retard injustifié, avec les informations nécessaires pour vos propres obligations (art. 33 du RGPD).
Signaler une vulnérabilité
Vous avez trouvé une faille sur ce site ou dans l'une de nos applications ? Merci de nous l'écrire à [email protected] (objet : « Sécurité »), avec :
- l'adresse ou l'application concernée ;
- une description du problème et les étapes pour le reproduire ;
- son impact possible, selon vous.
Nous accusons réception sous [À COMPLÉTER : délai, p. ex. 3 jours ouvrables] et vous tenons informé de la correction. Si vous agissez de bonne foi — sans accéder aux données d'autrui au-delà du nécessaire pour démontrer le problème, sans les modifier ni les divulguer, et en nous laissant le temps de corriger avant toute publication — nous n'engagerons aucune poursuite. Ces informations sont aussi publiées au format standard dans /.well-known/security.txt.