Sécurité

• HTTPS uniquement, avec HSTS de 2 ans sur le domaine et ses sous-domaines (éligible à la liste de préchargement des navigateurs).
• Connexion chiffrée (TLS obligatoire) entre l’application et la base de données ; les données au repos sont chiffrées par nos hébergeurs.
• Politique de sécurité du contenu stricte : aucun script, style, police ou appel réseau vers un autre domaine dans le tableau de bord ; aucune page ne peut être intégrée par un autre site (sauf le widget /embed et les tableaux publics partagés).
• En-têtes d’isolation : Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy, Origin-Agent-Cluster, Permissions-Policy qui refuse caméra, micro, géolocalisation, paiement, USB…

• Mots de passe hachés avec scrypt, jamais stockés ni journalisés en clair. Au moins 10 caractères, et refusés s’ils figurent dans une fuite connue : nous interrogeons Have I Been Pwned par k-anonymat (seuls les 5 premiers caractères de l’empreinte SHA-1 quittent nos serveurs).
• Double authentification (TOTP, RFC 6238) avec toute application d’authentification, 10 codes de secours à usage unique (stockés hachés), et protection contre le rejeu : un code n’est accepté qu’une fois.
• Sessions : jeton aléatoire de 256 bits dont seule l’empreinte SHA-256 est stockée, cookie __Host- Secure, HttpOnly, SameSite=Lax. Fin après 14 jours d’inactivité et au plus 30 jours après la connexion ; renouvelée à chaque connexion et changement de droits. Vous voyez et révoquez chaque session depuis votre compte.
• Protection contre la force brute partagée par tous nos serveurs : limites de débit à fenêtre glissante et verrouillages exponentiels par compte et par réseau, messages d’erreur identiques que le compte existe ou non.
• Inscription protégée contre les robots (champ piège, délai minimal de saisie, limites par réseau, Cloudflare Turnstile en option).
• Journal de sécurité visible par le titulaire du compte pendant 90 jours (connexions, échecs, double authentification, mot de passe, clés d’API, comptes liés), avec seulement le réseau tronqué (/24 en IPv4, /48 en IPv6), le navigateur et le pays.

• Mesure d’audience sans cookie : le traceur ne dépose rien sur l’appareil des visiteurs, et l’adresse IP n’est jamais enregistrée (identifiants de visiteurs hachés avec un sel renouvelé chaque jour).
• Hébergement dans l’Union européenne : application chez Vercel (région Dublin), base PostgreSQL chez Supabase (Irlande).
• Rôle de base de données dédié au moindre privilège (pas un superutilisateur), propriétaire du seul schéma de l’application, Row Level Security activée sur chaque table, schéma non exposé par l’API publique de Supabase, requêtes SQL toujours paramétrées.
• Secrets jamais stockés en clair : clés d’API et jetons de session hachés, graines TOTP chiffrées (AES-256-GCM), webhooks signés (HMAC).
• Sauvegardes de la base gérées par notre hébergeur, plus un export manuel avant toute opération risquée.
• Dépendances limitées et auditées (npm audit) ; aucun script tiers dans le tableau de bord.

Écrivez à security@globatics.live (français ou anglais) avec : la description, les étapes pour reproduire, l’impact, et vos coordonnées si vous souhaitez être crédité. Nous accusons réception sous 3 jours ouvrés, vous tenons informé, et corrigeons au plus vite selon la gravité. Merci de nous laisser 90 jours (ou jusqu’au correctif) avant toute publication.

Règles

• Testez uniquement avec vos propres comptes et sites ; n’accédez pas aux données d’autrui, ne les modifiez pas et ne les conservez pas. Si vous en rencontrez, arrêtez-vous et signalez-le.
• Pas de déni de service, de tests de charge, de spam, d’ingénierie sociale ni d’attaque physique.
• Hors périmètre : les services de nos prestataires (Vercel, Supabase, Google), les rapports d’outils automatiques sans impact démontré, l’absence d’un en-tête sans scénario d’exploitation, le self-XSS.
• Périmètre : globatics.live et ses sous-domaines, le script de suivi, l’API et le serveur MCP.

Nous n’avons pas encore de programme de récompenses ; avec votre accord, nous vous remercions publiquement sur cette page.

Si vous agissez de bonne foi et respectez cette politique, nous considérons votre recherche comme autorisée : nous n’engagerons aucune poursuite et ne soutiendrons aucune plainte à votre encontre à ce titre, et nous vous aiderons si un tiers le faisait. Cet engagement ne peut lier ni les tiers ni le ministère public. Vous pouvez aussi signaler une vulnérabilité à l’ANSSI, qui préserve votre anonymat (article L. 2321-4 du code de la défense).

Ces informations sont aussi publiées au format RFC 9116 dans /.well-known/security.txt.