CONFIANCE & SÉCURITÉ
Ce que nous pouvons mettre par écrit.
Notre propre posture, notre gestion des accès et des données, qui traite quoi et ce que nous faisons quand quelque chose casse. Chaque point peut être vérifié ou demandé.
Notre posture
Nous appliquons les contrôles que nous vous demandons d’appliquer.
Ce site est statique, la liste est donc courte par construction. Courte ne signifie pas vérifiée — vérifiez par vous-même avant de nous croire.
- TLS 1.3 avec HSTS sur toutes les réponses HTTPS
- En-têtes de sécurité stricts : CSP, HSTS, options X-Frame-Options, politique de referrer et politique de permissions
- MFA sur chaque compte pouvant modifier ce site ou atteindre des données clients
- Accès selon le moindre privilège pour chaque compte, y compris les nôtres
- Sauvegardes hebdomadaires, avec une restauration testée au même rythme
- Mises à jour de dépendances selon un calendrier fixe, avec lecture des journaux de modifications avant fusion
Vérifiez par vous-même
Testez-nous avec Security Headers et SSL Labs avant de croire quoi que ce soit sur cette page.
Les deux sont gratuits et indépendants de nous. Si quelque chose échoue, dites-le-nous — nous préférons le corriger plutôt que le voir découvert lors de votre revue d’achat.
Contrôles et preuves
- Security Headers — CSP, HSTS, options X-Frame-Options et politique de referrer sur le domaine racine
- SSL Labs — version du protocole, suites de chiffrement et chaîne de certificats
Accès
Les accès sont délimités, limités dans le temps puis supprimés.
La vraie question n’est pas de savoir si un prestataire est digne de confiance. C’est ce qu’il peut atteindre, pendant combien de temps, et quelle preuve subsiste à son départ.
Poser une question sur une demande d’accès précise- Un coffre dédié par mission. Les identifiants résident dans un seul coffre, partagés uniquement avec les personnes de cette mission et supprimés à sa clôture.
- MFA obligatoire. Chaque compte que nous utilisons, y compris les panneaux d’administration de nos clients, exige un second facteur. La commodité n’est pas une exception.
- Limité dans le temps et révoqué sous 30 jours. L’accès est accordé pour la durée de la mission et supprimé dans les 30 jours suivant la clôture, avec confirmation écrite sur demande.
- Aucun identifiant par e-mail. Ni avant le contrat, ni pendant la prestation, ni après. Nous utilisons le coffre ou une invitation à périmètre limité.
- La production uniquement si le périmètre l’exige. Préproduction, copie ou accès en lecture seule par défaut ; un accès administrateur en production exige une raison écrite.
Traitement des données
Combien de temps nous conservons les données.
Ces durées s’appliquent à ce site et aux missions clients, sauf contrat signé prévoyant autre chose. La suppression est confirmée par écrit, à chaque fois.
| Donnée | Où elle est stockée | Conservation | Suppression |
|---|---|---|---|
| Demandes envoyées via le formulaire de contact | Base du formulaire et boîte partagée | 24 mois à partir de la dernière réponse | Supprimées sur demande écrite ; confirmation écrite |
| Notes de mission | Espace de projet privé, équipe de la mission uniquement | 12 mois après la clôture du projet | Détruites à la clôture sur demande ; confirmation écrite |
| Constats et rapports | Stockage chiffré et votre propre copie | 12 mois ; votre copie vous appartient | Notre copie supprimée sur demande ; confirmation écrite |
| Journaux et sortie brute des scans | Journaux d’hébergement, d’accès et de l’espace de scan | 30 jours, puis rotation ou suppression | Suppression confirmée par écrit avec la clôture |
Les demandes de suppression sont à adresser à xcsfx@icloud.com. Nous confirmons ce qui a été supprimé, depuis où et à quelle date.
Sous-traitants ultérieurs
Qui touche aux données, et ce qu’il voit.
Cinq catégories. Aucune ne reçoit plus que ce que la tâche exige.
| Service | Finalité | Catégorie de données |
|---|---|---|
| Réseau de périphérie et WAF | Terminaison TLS, cache et filtrage des requêtes | Adresse IP, en-têtes de requête et événements de sécurité |
| Hébergement statique | Sert les pages, styles et scripts de ce site | Adresse IP et journaux de requêtes standard |
| Reçoit les envois du formulaire et achemine les réponses | Nom, adresse e-mail et contenu du message | |
| Paiements | Traite les paiements des formules de maintenance et des factures de projet | Contact de facturation et montant de la facture ; les données de carte restent chez le prestataire de paiement |
| Supervision de disponibilité | Vérifie que le site et ses points de terminaison répondent | Chemin de requête, code de statut et temps de réponse |
Ce tableau est un résumé. L’accord de traitement des données (DPA) contient la liste faisant foi pour une mission signée, y compris les entités juridiques, les conditions de traitement et la notification de violation.
Réponse à incident
Les cinq premiers jours, par écrit.
Ces délais supposent les heures d’assistance, de 09:00 à 18:00 GMT+8, du lundi au vendredi. Ce sont des engagements tenables, pas des intentions.
Accusé de réception sous 4 heures ouvrées
Une personne nommée confirme le signalement, le périmètre touché et l’heure de la prochaine mise à jour.
Une mise à jour toutes les 24 heures
Une mise à jour écrite chaque jour jusqu’à la clôture de l’incident, même quand il n’y a rien de nouveau à dire.
Cause racine sous 5 jours ouvrés
Ce qui s’est passé, dans l’ordre, et quel contrôle a échoué ou manquait.
Retour d’expérience pour le client
La même cause racine, plus ce qui a changé, rédigé pour que votre équipe puisse agir.
Nous ne sommes pas un SOC 24/7. Il n’y a pas d’astreinte de nuit et aucune promesse à 3 heures du matin. Si votre besoin est une astreinte 24/7, nous ne sommes pas le bon partenaire pour cela, et nous vous le dirons dès le premier appel plutôt que dans une proposition.
Certifications
Nous ne détenons ni ISO 27001 ni SOC 2.
Nous ne revendiquerons pas une certification que nous n’avons pas, et nous n’emprunterons pas la crédibilité d’un logo que nous n’avons pas le droit d’afficher.
Ce que nous ne pouvons pas vous fournir
- Certification ISO 27001
- Rapport SOC 2 Type I ou Type II
- Certification Cyber Essentials
- Attestation PCI DSS — les données de carte restent chez le prestataire de paiement
Si votre processus d’achat en exige une, nous ne sommes pas le fournisseur pour cette affaire. Nous préférons la perdre plutôt que de présenter des documents inexacts.
Des preuves que vous pouvez lire
- Des politiques de sécurité écrites, versionnées et partagées sur demande
- Un accès au moindre privilège avec un responsable nommé pour chaque compte
- Un accord de traitement signé avant l’arrivée de toute donnée client
- Des questionnaires de sécurité remplis par écrit, pas lors d’un appel commercial
- Un dossier de preuves pour chaque mission : périmètre, constats, contre-test, clôture
Les réponses proviennent toujours des mêmes politiques, et sont donc cohérentes d’une affaire à l’autre.
Signaler une vulnérabilité
Si vous pensez avoir trouvé quelque chose, parlez-nous-en d’abord.
Nous préférons lire un e-mail brouillon d’un chercheur plutôt que d’apprendre l’existence d’une faille ailleurs.
xcsfx@icloud.comEngagement de non-poursuite
- La recherche de bonne foi sur vos propres comptes, ou sur un locataire de test que vous nous demandez de créer, est bienvenue.
- N’accédez pas aux données d’autrui, ne les modifiez pas et ne les exfiltrez pas. Arrêtez-vous et signalez.
- Laissez-nous le temps de corriger avant de publier, et dites-nous si vous prévoyez de publier.
- Nous accusons réception sous 2 jours ouvrés et vous indiquons si nous parvenons à reproduire.
Nous n’engagerons pas d’action juridique pour une recherche qui respecte ces règles. La politique tient en ces quelques lignes ; il n’y a pas de formulaire séparé.
Prochaine étape
Lisez le document, puis posez-nous la question difficile.
L’accord de traitement des données contient la liste faisant foi des sous-traitants ultérieurs et des conditions. Si un point ici ne correspond pas à votre questionnaire, indiquez-le dans le formulaire et nous répondrons par écrit.