Charte de sécurité

Nos principes

• Sécurité par défaut : chaque site est livré avec les protections de base activées, sans option à payer en plus.
• Le minimum d’accès : chacun n’accède qu’à ce dont il a besoin, et les accès sont retirés dès qu’ils ne servent plus.
• Des sauvegardes vérifiées : une sauvegarde n’a de valeur que si elle se restaure.
• La transparence : en cas d’incident, vous êtes prévenu et vous savez ce qui a été fait.

1. Hébergement

• Serveurs situés dans l’Union européenne [nom de l’hébergeur et localisation, à compléter dans les mentions légales].
• Protection contre les attaques par saturation (anti-DDoS) et pare-feu.
• Connexion chiffrée (HTTPS) sur tous les sites, certificat renouvelé automatiquement.
• En-têtes de sécurité du navigateur activés sur project404.fr et l’espace client : HTTPS imposé, protection contre l’interprétation abusive des fichiers, politique de référent ; l’espace client interdit en plus son intégration dans une autre page.

2. Mises à jour

• Logiciel du site, extensions et serveur mis à jour [chaque mois] et sans attendre en cas de faille critique.
• Extensions limitées au nécessaire, choisies parmi des projets maintenus ; celles qui ne servent plus sont supprimées.
• Pour le plan Avancé 403, les mises à jour importantes passent d’abord par l’environnement de pré-production.

3. Sauvegardes

• Sites hébergés : selon le plan (chaque jour pour Starter 402 et Avancé 403, sur demande pour Basic 401), conservées hors du serveur du site. Détails dans le contrat de niveau de service.
• Espace client et back-office : sauvegarde complète chaque nuit (base de données et fichiers), chiffrée, avec une copie stockée hors du serveur.
• Restauration testée [chaque trimestre].

4. Surveillance

• Chaque site est contrôlé toutes les 5 minutes. Une panne est confirmée au deuxième échec consécutif, puis nous sommes alertés immédiatement.
• Vous êtes informé par un bandeau dans l’espace client, et le retour en ligne est signalé.

5. Comptes et accès

• Mots de passe : stockés sous forme chiffrée irréversible, jamais lisibles, y compris par nous. Changer son mot de passe déconnecte les autres appareils.
• Double authentification : disponible pour tous les comptes de l’espace client, obligatoire pour l’accès d’administration.
• Connexion avec Google ou Microsoft possible, si vous la liez à votre compte.
• Appareils connectés visibles dans l’espace client, avec déconnexion à distance.
• Cloisonnement : chaque client n’accède qu’aux données de son entreprise ; les fichiers (documents, CV, rapports) ne sont servis qu’après vérification de la connexion.
• Journal : les actions importantes (connexions, changements de droits, signatures, suppressions) sont enregistrées et conservées 3 ans.
• Secrets (clés d’accès aux services) : stockés hors du code, jamais envoyés par e-mail.

6. Données

• Chiffrement pendant les échanges (HTTPS) et dans les sauvegardes.
• Minimisation : nous ne collectons que ce qui sert, et les données sont supprimées automatiquement au terme des durées annoncées dans la politique de confidentialité.
• Paiements traités par Stripe : nous ne voyons jamais les données de carte.
• Signature électronique des devis avec code envoyé par e-mail et preuve conservée (date, adresse IP, empreinte du document).

7. Développement

• Relecture du code et tests automatisés avant chaque mise en ligne.
• Données des formulaires vérifiées côté serveur ; protections contre les envois abusifs (limites par adresse IP et par e-mail, champ piège).
• Fichiers déposés contrôlés (type réel, taille).
• Dépendances logicielles suivies et mises à jour.

8. En cas d’incident

1. Détection par la surveillance, une alerte ou un signalement.
2. Confinement : coupure des accès concernés, mise hors ligne si nécessaire.
3. Information : le client concerné est prévenu sans délai, et au plus tard [48 h] pour une violation de données (voir l’accord de traitement des données).
4. Correction et restauration depuis une sauvegarde saine.
5. Compte rendu : cause, durée, données touchées, mesures pour éviter que cela se reproduise. Notification à la CNIL sous 72 h quand la loi l’impose.

9. Signaler une faille

Vous pensez avoir trouvé une faille sur project404.fr, l’espace client ou un site que nous hébergeons ? Écrivez à [email protected] avec l’objet « Sécurité » et les étapes pour la reproduire.

• Nous accusons réception sous [72 h] et vous tenons informé de la correction.
• Merci de ne pas accéder aux données d’autrui, de ne pas perturber le service et de ne pas rendre la faille publique avant sa correction.
• Contact également publié dans le fichier security.txt.

10. Vos bons réflexes

• Un mot de passe unique et long pour votre espace client, et la double authentification activée.
• Un compte par personne : ne partagez pas vos identifiants.
• Prévenez-nous du départ d’un collaborateur pour retirer ses accès.
• Méfiez-vous des e-mails qui demandent vos identifiants : nous ne vous les demanderons jamais.