Passer au contenu principal

​
Pratiques de sécurité

  • Revue de code : toute modification du code doit être relue avant d’être fusionnée
  • Gestion des dépendances : les dépendances sont régulièrement mises à jour et surveillées pour détecter les vulnérabilités
  • Analyse statique : l’analyse de sécurité automatisée fait partie du pipeline CI/CD
  • Analyse des vulnérabilités : l’analyse automatisée des dépendances et des vulnérabilités tourne en continu sur le code
  • Tests d’intrusion : des tests d’intrusion par un tiers externe sont prévus dans la feuille de route sécurité (pas encore réalisés)
  • Accès basé sur les rôles : les équipes prennent en charge les rôles membre, manager et admin, avec des permissions distinctes
  • Portée des tokens d’API : les tokens d’API peuvent être limités à certaines équipes et dotés d’une date d’expiration
  • Gestion des sessions : les utilisateurs peuvent consulter et révoquer leurs sessions actives
  • Journal d’audit : les actions sur les documents sont journalisées avec leur horodatage et leur adresse IP

​
Sécurité de l’infrastructure

Le service cloud Qwoty applique les mesures de sécurité suivantes :

​
Chiffrement des données

Toutes les données transmises vers et depuis Qwoty sont chiffrées en TLS 1.2 ou supérieur. Cela comprend :
  • Le trafic de l’application web
  • Les requêtes API
  • L’envoi des e-mails (lorsque le serveur destinataire le prend en charge)
  • Les payloads de webhook
Pour Qwoty Cloud :
  • Le contenu de la base de données est chiffré au repos en AES-256
  • Le stockage des documents utilise un stockage objet chiffré
  • Les sauvegardes sont chiffrées, avec redondance géographique
  • Les clés de chiffrement sont gérées avec une rotation régulière

​
Sécurité de l’authentification

​
Méthodes d’authentification prises en charge

​
Exigences relatives aux mots de passe

  • Longueur minimale imposée
  • Les mots de passe sont hachés avec bcrypt avant stockage
  • Les tokens de réinitialisation de mot de passe sont limités dans le temps et à usage unique

​
Sécurité des sessions

  • Les sessions peuvent être consultées et révoquées depuis les paramètres du compte
  • Les tokens de session sont renouvelés lors des événements d’authentification
  • Les sessions inactives expirent après une durée configurable

​
Divulgation des vulnérabilités

Qwoty applique un processus de divulgation responsable des vulnérabilités de sécurité.
Si vous découvrez une vulnérabilité de sécurité, signalez-la par e-mail à :security@qwoty.ioIndiquez les informations suivantes :
  • Description de la vulnérabilité
  • Étapes pour la reproduire
  • Impact potentiel
  • Correctifs suggérés, le cas échéant (facultatif)
  • Code de l’application Qwoty
  • Failles d’authentification et d’autorisation
  • Vulnérabilités d’exposition de données
  • Vulnérabilités d’injection
  • Cross-site scripting (XSS)
  • Cross-site request forgery (CSRF)
Nous remercions les chercheurs en sécurité qui divulguent les vulnérabilités de manière responsable. Avec votre accord, nous vous citerons lors de la publication du correctif.
Ne divulguez pas publiquement une vulnérabilité avant qu’elle ait été corrigée. La divulgation publique de vulnérabilités non corrigées met les utilisateurs en danger.

​
Mises à jour de sécurité

​
Notification

Les mises à jour de sécurité sont annoncées via :
  • Le changelog Qwoty
  • Une notification directe par e-mail aux clients concernés, le cas échéant

​
Politique de mise à jour

  • Les vulnérabilités critiques sont corrigées le plus rapidement possible
  • Les notes de version incluent toutes les modifications liées à la sécurité

​
Contact

Pour toute question liée à la sécurité :

​
Voir aussi

Dernière modification le 27 octobre 2026