Isolement par client
La plateforme est multi-locataire avec une séparation logique stricte : chaque lecture et chaque écriture est limitée à l'identifiant de votre compte, dans la couche de données comme dans la couche applicative. Vos informations ne sont ni visibles ni accessibles depuis le compte d'aucun autre client, et il n'existe aucune requête globale côté utilisateurs.
- Vérification continue, pas une promesse. Un gardien automatisé inspecte de façon récurrente l'environnement de production à la recherche de toute configuration qui pourrait mélanger des informations entre comptes et le signale aux signes vitaux de la plateforme. La séparation ne se présume pas : elle se mesure.
- Les surfaces publiques (formulaires, widgets, webhooks) sont minimales et s'authentifient par jeton ou identifiant à portée limitée ; tout le reste exige une session authentifiée.
- Les changements sont préparés et testés dans un environnement de travail séparé avant leur publication en production.
Identité et contrôle d'accès
- Mots de passe irrécupérables. Stockés uniquement sous forme de hachage cryptographique unidirectionnel avec sel (bcrypt). Personne, pas même l'équipe d'OMB, ne peut les lire ni les reconstruire.
- Rôles à privilège minimal. Propriétaire, administrateur et utilisateur, avec des permissions par module : chaque personne ne voit que ce que sa fonction exige.
- Sessions durcies. Cookies Secure, HttpOnly et SameSite ; le rappel de session utilise des jetons divisés qui tournent à chaque usage et se comparent en temps constant, de sorte que le vol d'un ancien cookie n'ouvre pas le compte.
- Second facteur d'authentification disponible pour les comptes qui l'exigent, et clés d'accès (passkeys) en déploiement comme méthode préférée, car résistantes au phishing par conception.
- Vérification renforcée par module. Les modules que vous marquez comme sensibles peuvent exiger une vérification supplémentaire à l'entrée, même avec une session déjà ouverte, suivant la pratique de la banque en ligne.
Chiffrement
| Couche | Technologie | Détail |
|---|---|---|
| En transit | TLS | Toute la communication voyage chiffrée : portail, API, widgets et intégrations. |
| Secrets et identifiants | AES-256-GCM | Mots de passe de messagerie, clés d'intégrations et identifiants confiés par les clients sont stockés chiffrés avec authentification d'intégrité. La clé maîtresse vit hors du dépôt de code et hors de portée du serveur web, avec des permissions restrictives et une rotation sans perte. |
| Coffres client | AES-256-GCM | Les identifiants de portails tiers confiés par un client n'existent que chiffrés, sans lecture humaine en fonctionnement normal, avec suppression définitive sur demande. |
| Mots de passe utilisateurs | bcrypt | Hachage unidirectionnel avec sel. Aucun déchiffrement possible. |
| Documents signés | SHA-256 + RFC 3161 | Chaque contrat signé est lié à son empreinte cryptographique avec un horodatage cryptographique. |
Périmètre, sauvegardes et continuité
- Pare-feu au niveau de l'infrastructure et blocage, depuis le serveur web, de tous les fichiers sensibles (configuration, journaux, sauvegardes, contrôle de versions) : ils ne sont pas accessibles depuis internet.
- Stockage des sessions hors de l'arborescence publique, avec des permissions restrictives.
- Sauvegardes quotidiennes, vérifiées et chiffrées. Chaque sauvegarde de base de données est vérifiée avant d'être conservée (une sauvegarde qui échoue à la vérification n'est pas conservée comme bonne) et chiffrée en AES-256 avec une clé dédiée, distincte de la clé d'exploitation et gardée hors du dépôt et du dossier de sauvegardes.
- Les sauvegardes ne violent pas votre confidentialité. Elles servent exclusivement à la restauration, jamais à la consultation. L'information en Coffre chiffré arrive à la sauvegarde déjà chiffrée avec votre clé : elle est illisible même à l'intérieur de la sauvegarde. La rotation est de 14 jours au plus, de sorte qu'une suppression de données disparaît aussi des sauvegardes dans ce délai.
- Surveillance continue des signes vitaux de la plateforme avec détection d'anomalies.
Traçabilité et documents probants
- Journal des opérations pertinentes (créations, modifications, envois, signatures) avec date, heure, adresse IP et utilisateur.
- Quand du personnel autorisé opère en mode supervision, la plateforme consigne l'identité réelle de la personne qui agit, pas seulement le compte sur lequel elle agit.
- Les documents probants (contrats et justificatifs) sont générés côté serveur, liés à leur empreinte SHA-256 et conservent leur chaîne d'événements complète. Le fichier signé est démontrablement le document qui a été montré.