Sécurité

Nous suivons des pratiques de sécurité inspirées des normes ISO/IEC 27001 et SOC 2, mais ne détenons actuellement aucune certification (voir ci-dessous). Le programme est piloté par notre direction technique, réexaminé au moins une fois par an et appliqué à tous les employés, prestataires et sous-traitants ultérieurs qui accèdent aux données des clients.

• En transit: TLS 1.2 ou supérieur pour toutes les connexions au Service. HSTS est activé sur le site web public.
• Au repos: AES-256 pour le stockage des bases de données gérées et le stockage objet.
• Secrets: les clés API et les identifiants sont conservés dans un gestionnaire de secrets et renouvelés selon un calendrier documenté.

• Contrôle d'accès basé sur les rôles, avec application du principe du moindre privilège par défaut.
• Authentification multifacteur obligatoire pour tous les accès administratifs aux systèmes de production et aux dépôts de code source.
• L'accès à la production est limité à un petit groupe d'ingénieurs ayant un besoin professionnel documenté et fait l'objet d'une journalisation.
• SSO (Google) pris en charge pour les comptes clients ; SAML/SCIM disponibles avec le forfait Agency.

• Hébergement sur le réseau edge de Cloudflare avec protection DDoS et pare-feu applicatif web.
• Postgres géré sur Supabase (région UE) avec sauvegardes automatisées et restauration à un instant donné.
• Segmentation du réseau entre les couches publique, applicative et de données.
• Journalisation centralisée et surveillance continue des activités anormales.

• Toutes les modifications font l'objet d'une revue de code et de tests automatisés avant leur fusion.
• L'analyse des dépendances, l'analyse statique et la détection de secrets sont exécutées à chaque commit.
• Les déploiements en production sont auditables et réversibles.
• Les ingénieurs suivent chaque année une formation au développement sécurisé et à la protection de la vie privée.

• Les bases de données sont sauvegardées en continu et les sauvegardes sont conservées pendant au moins 7 jours ; les instantanés quotidiens sont conservés pendant 30 jours.
• Les procédures de reprise sont testées chaque année, avec des objectifs RTO et RPO documentés.
• L'infrastructure critique est déployée sur plusieurs régions ou zones de disponibilité pour assurer sa résilience.

Nous maintenons un plan documenté de réponse aux incidents couvrant la détection, le confinement, l'éradication, la reprise et l'analyse post-incident. Les clients concernés sont informés des violations avérées de données à caractère personnel dans les meilleurs délais et dans un délai maximal de 72 heures, conformément à notre DPA.

Les chercheurs en sécurité sont invités à signaler les vulnérabilités présumées à security@citations.io. Veuillez suivre les consignes de notre Politique d'utilisation acceptable - nous n'engagerons aucune action en justice contre les recherches menées de bonne foi dans le respect de ces consignes, et nous créditerons les chercheurs (avec leur autorisation) une fois le correctif déployé.

Lois sur la protection de la vie privée

Le Service est conçu pour aider les clients à respecter le RGPD britannique, le RGPD de l'UE et le California Consumer Privacy Act (tel que modifié par le CPRA). Consultez notre Politique de confidentialité et DPA.

SOC 2 / ISO 27001

La certification SOC 2 Type II figure sur notre feuille de route en matière de conformité. Bien que nous ne soyons pas encore certifiés, les contrôles sous-jacents décrits ci-dessus sont en place. Les clients ayant signé un accord de confidentialité peuvent demander notre questionnaire de sécurité actuel et une présentation de notre architecture.

• Choisissez des mots de passe robustes et uniques et activez l’authentification multifacteur sur votre compte.
• Mettez rapidement à jour les accès de votre équipe lors des arrivées et des départs.
• Traitez les clés API et les identifiants d’intégration comme des secrets.
• Signalez toute suspicion de compromission de compte à security@citations.io immédiatement.