Cette page présente les mesures de sécurité que Sizewright applique aujourd’hui. Elle décrit ce qui existe, pas ce qui est prévu. La manière dont nous traitons les données personnelles est expliquée dans la politique de confidentialité ; les prestataires auxquels nous faisons appel figurent sur la page des sous-traitants.
Comptes et connexion
- Des mots de passe d’au moins 10 caractères, comparés aux mots de passe connus à la suite de fuites de données. Pour ce contrôle, seuls les premiers caractères d’une empreinte du mot de passe sont transmis, jamais le mot de passe lui-même.
- La vérification de l’adresse e-mail avant toute utilisation du compte, et des e-mails de sécurité en cas de connexion depuis un nouvel appareil ou de modification du mot de passe, de l’adresse e-mail ou des paramètres d’authentification à deux facteurs.
- L’authentification à deux facteurs, avec une application d’authentification et des codes de secours, obligatoire pour chaque compte de notre personnel.
- Des sessions conservées dans des cookies sécurisés et HTTP-only. Votre compte affiche vos appareils, et vous pouvez déconnecter l’un d’eux ou tous à la fois.
- Une nouvelle vérification du mot de passe avant les actions sensibles, comme le changement de votre adresse e-mail ou la suppression de votre compte.
- Une protection contre les robots et des limites de débit sur l’inscription, la connexion, la réinitialisation du mot de passe et le changement d’adresse e-mail.
Accès aux espaces de travail
- Chaque requête est vérifiée côté serveur au regard de l’espace de travail dont elle relève et du rôle de la personne. Un identifiant envoyé par un navigateur ne suffit jamais à lui seul.
- Les liens de validation reposent sur de longs jetons aléatoires, que nous ne conservons que sous forme d’empreintes. Ils expirent, peuvent être protégés par un mot de passe et peuvent être révoqués à tout moment.
- Notre personnel ne peut consulter un espace de travail que pour vous aider ou pour analyser un problème : il doit indiquer un motif, une session prend fin au bout de 60 minutes au maximum, la facturation et la suppression sont verrouillées pendant la session, et chaque session est consignée dans le journal d’audit.
Vos contenus
- Les fichiers importés sont contrôlés : limites de taille, type de fichier déterminé d’après le contenu, images décodées, fichiers SVG nettoyés et polices validées avant utilisation.
- L’import d’une marque depuis un site internet s’exécute dans un navigateur isolé, qui ne peut pas atteindre les réseaux privés.
- Les aperçus de bannières et les bannières HTML5 s’exécutent dans un bac à sable, séparé de la plateforme.
- Les fournisseurs d’IA ne reçoivent que ce dont une étape a besoin et n’entraînent pas leurs modèles sur ces données (voir la politique de confidentialité).
Paiements
Les données de carte sont saisies directement sur la page de paiement de Stripe et n’atteignent jamais nos serveurs. Nous conservons les identifiants Stripe des clients et des paiements, jamais les numéros de carte.
Infrastructure
- HTTPS exclusivement, avec HSTS, une politique de sécurité du contenu stricte et d’autres en-têtes de sécurité.
- La base de données se trouve dans l’UE (Francfort) et le stockage de fichiers dans l’UE, tous deux chiffrés au repos. La base de données dispose de sauvegardes permettant une restauration à un instant donné, supprimées par rotation dans un délai de 30 jours.
- Les secrets sont tenus hors du code. Les journaux ne contiennent ni mots de passe, ni jetons, ni données de carte, et le journal d’audit ne peut que recevoir de nouvelles entrées.
- Les logiciels dont nous dépendons sont tenus à jour et contrôlés pour détecter les vulnérabilités connues.
En cas d’incident
Si un incident de sécurité touche des données personnelles, nous l’évaluons dans les 24 heures, le notifions à l’autorité néerlandaise de protection des données dans les 72 heures lorsque la loi l’exige, et informons les personnes concernées dans les meilleurs délais lorsque le risque pour elles est élevé. Les clients professionnels couverts par notre accord de traitement des données sont prévenus par nos soins dans les 48 heures.
Signaler une vulnérabilité
Si vous avez découvert un problème de sécurité, écrivez à support@sizewright.com en précisant les détails et la manière de le reproduire. Laissez-nous le temps de le corriger avant de le divulguer et, pendant vos tests, n’accédez pas aux données d’autres personnes et ne perturbez pas le service. Nous répondons sous deux jours ouvrés. Le même contact figure dans notre security.txt.