Sécurité, conformité et admin

SSO entreprise (offre Entreprise) : OIDC et SAML, compatible Microsoft Entra ID, Okta, Google, OneLogin, JumpCloud, Ping Identity et ADFS. Configuré par espace de travail, sur les domaines e-mail vérifiés de l'entreprise. Les comptes peuvent être créés à la première connexion si l'espace l'autorise. Connexion Google disponible pour tous.
‍
Provisionnement SCIM 2.0 (offre Entreprise) : les membres et leurs rôles se synchronisent depuis l'annuaire de l'entreprise (Microsoft Entra ID, Okta, OneLogin, JumpCloud, SailPoint).• Double authentification : application TOTP (Google Authenticator, Microsoft Authenticator…), codes de secours à usage unique, appareils de confiance pendant 30 jours. Un code déjà utilisé est refusé. Elle s'applique à la connexion par e-mail et mot de passe ; avec Google ou le SSO, c'est le fournisseur d'identité de l'entreprise qui la gère.

Rôles et accès : chaque espace attribue un rôle à ses membres (propriétaire, administrateur, collaborateur, membre) et l'accès aux projets s'accorde projet par projet. Les droits sont contrôlés côté serveur à chaque requête.

Protection des connexions : les tentatives de connexion sont limitées en débit.

API REST (offre Entreprise) : authentification par jeton, clés gérées par les propriétaires et administrateurs de l'espace, quotas, limites de débit, journal d'utilisation et documentation.

Serveur MCP : compatible Claude, ChatGPT et Gemini CLI. Un assistant connecté agit avec les droits de l'utilisateur qui l'a autorisé, dans la limite des autorisations accordées.• Jetons : stockés sous forme d'empreinte SHA-256, affichés une seule fois, à leur création.

Restriction par adresse IP (offre Entreprise) : chaque jeton d'API et de serveur MCP peut être limité à une liste d'adresses IP.

Applications partenaires : accès à un espace uniquement avec l'accord d'un propriétaire ou d'un administrateur, en lecture seule, révocable depuis l'onglet Sécurité.






‍

L'application et sa base de données sont hébergées chez Amazon Web Services, dans la région de Paris (eu-west-3).
‍
Le trafic passe par Cloudflare, qui peut traiter les échanges hors de l'Union européenne.
‍
Certains traitements ont lieu hors de l'Union européenne, principalement aux États-Unis : fournisseurs de modèles d'IA, paiement, CRM, messagerie. La liste publique des sous-traitants est disponible sur demande.
‍
Un délégué à la protection des données (DPO) désigné, un accord de sous-traitance (DPA), un registre des traitements et une politique de conservation des données.

Échanges chiffrés en TLS.• Mots de passe stockés sous forme de condensat bcrypt.• Secrets sensibles (double authentification, SSO, connexions OAuth) chiffrés en AES-256-GCM.

Chaque espace et chaque projet est cloisonné : un utilisateur n'accède qu'à ce qui lui a été ouvert.• Journal d'activité (offre Entreprise) : journal de l'espace exportable, collecte possible par le SIEM de l'entreprise avec des clés dédiées, intégrité garantie par un scellement quotidien.





‍

Sauvegardes continues de la base de données, chiffrées avant leur envoi vers le stockage d'AWS, dans l'Union européenne.





‍

‍

Les fournisseurs de modèles d'IA reçoivent les prompts suivis et, selon l'analyse, les réponses collectées et des informations du projet (marque, concurrents, contenu du site). N'inscrivez jamais d'information confidentielle ni de donnée personnelle dans un prompt suivi.
‍
DeepSeek n'est interrogé que pour les projets qui le choisissent, il n'est pas activé par défaut.•

Le chatbot du site et l'assistant Meteor de l'application passent par Microsoft (service Azure OpenAI).

Certification ISO/IEC 27001:2022 en préparation, visée en 2027.

Programme :
T4 2026 : première revue de direction de la sécurité, premier audit interne, test d'intrusion externe, ouverture du centre de confiance dans l'application
2027 : audit de certification ISO/IEC 27001:2022 (étapes 1 et 2)