Sécurité de la plateforme

Krysme SA considère la sécurité des données comme une obligation fondamentale envers ses clients, et non comme une option. Chaque décision d'architecture, chaque déploiement et chaque mise à jour intègre une analyse de sécurité systématique.

Nous appliquons le principe du moindre privilège — chaque composant n'accède qu'aux données strictement nécessaires à son fonctionnement — et le principe de la défense en profondeur — plusieurs couches de sécurité indépendantes protègent chaque ressource.

• Hébergement : plateforme déployée sur Vercel (Edge Network mondial) avec données exclusivement stockées dans des data centers européens (eu-central-1, Francfort).
• Base de données : Supabase PostgreSQL avec chiffrement au repos, sauvegardes automatiques quotidiennes conservées 30 jours, réplication multi-zone.
• Réseau : séparation stricte des environnements (production / staging / développement). Accès à la production restreint par liste blanche d'IPs et authentification MFA obligatoire pour l'équipe Krysme.
• DDoS : protection anti-DDoS active via Vercel Edge Network et rate-limiting applicatif (120 req/min global, 20 tentatives/15 min pour l'authentification).

• En transit : TLS 1.3 obligatoire sur toutes les connexions. Les connexions TLS < 1.2 sont rejetées. HSTS (HTTP Strict Transport Security) activé.
• Au repos : chiffrement AES-256 pour les credentials tiers (clés API, tokens OAuth) stockés en base. Clé de chiffrement gérée séparément du reste des données.
• Mots de passe : hachage bcrypt avec facteur de coût 12 (jamais stockés en clair). Aucune possibilité de récupérer un mot de passe en clair, même pour l'équipe Krysme.
• Données de paiement : aucune donnée de carte bancaire n'est stockée par Krysme. Tout le traitement paiement est délégué à Stripe (PCI-DSS niveau 1).

• JWT sécurisé : sessions gérées via JSON Web Tokens signés (HMAC-SHA256), stockés dans des cookies HttpOnly, SameSite=Lax, durée 30 jours.
• OAuth 2.0 : connexion Google via le flux Authorization Code avec PKCE. Aucun token OAuth n'est exposé côté client.
• CSRF : protection CSRF double-submit cookie sur toutes les mutations.
• Verrouillage de compte : après plusieurs tentatives échouées, le compte est temporairement verrouillé. Les administrateurs peuvent déverrouiller manuellement.
• MFA : authentification multi-facteurs disponible pour tous les comptes, obligatoire pour les rôles OWNER et SUPER_ADMIN (déploiement en cours).
• RBAC : contrôle d'accès basé sur les rôles à 4 niveaux (SUPER_ADMIN, OWNER, DEPARTMENT_HEAD, VALIDATOR). Chaque route API vérifie les permissions au niveau serveur.

• Audit log WORM : toutes les actions sensibles (connexion, modification de données, accès aux ressources protégées) sont enregistrées avec horodatage, IP source et identité de l'acteur. Ces logs sont immuables (Write Once Read Many).
• Monitoring temps réel : alertes automatiques sur les comportements anormaux (tentatives de connexion multiples, accès depuis de nouvelles géographies, volumes inhabituels de requêtes).
• Retention : journaux conservés 90 jours en ligne, 1 an en archive froide.

• Revues de code : tout code est soumis à une revue par un second développeur avant déploiement en production. Revue sécurité spécifique pour les fonctionnalités sensibles.
• Dépendances : analyse automatisée des vulnérabilités des dépendances npm (Dependabot) avec mises à jour régulières.
• Tests de pénétration : tests d'intrusion annuels réalisés par un prestataire externe indépendant. Les résultats sont traités en priorité.
• Secrets : aucun secret (clé API, mot de passe, token) n'est jamais commis dans le code source. Gestion via variables d'environnement chiffrées.
• Content Security Policy : headers CSP stricts sur toutes les pages pour prévenir les injections XSS.

• nLPD : conformité à la nouvelle Loi fédérale suisse sur la protection des données (en vigueur depuis le 1ᵉʳ septembre 2023).
• RGPD : conformité au Règlement Général sur la Protection des Données de l'UE. Registre des activités de traitement tenu à jour.
• ISO 27001 : notre roadmap prévoit la certification ISO 27001 pour 2025.
• PCI-DSS : conformité déléguée à Stripe pour tout ce qui concerne le traitement des données bancaires.

En cas de violation de données (data breach), Krysme suit la procédure suivante :

• Détection & confinement : identification de la brèche et isolation immédiate des systèmes affectés.
• Évaluation : analyse de l'étendue de l'incident, des données compromises et des personnes affectées.
• Notification RGPD : notification à l'autorité de contrôle compétente (PFPDT) dans les 72 heures si la violation présente un risque élevé (art. 33 RGPD / art. 24 nLPD).
• Notification clients : les utilisateurs affectés sont informés dans les meilleurs délais avec les détails de l'incident et les mesures prises.
• Post-mortem : analyse des causes racines et mise en place de mesures correctives documentées.

Krysme encourage la divulgation responsable des vulnérabilités de sécurité. Si vous découvrez une faille, nous vous invitons à nous la signaler avant toute divulgation publique.

Comment nous contacter

Envoyez un e-mail à contact@krysme.com avec l'objet [SECURITY] en incluant : une description détaillée de la vulnérabilité, les étapes pour la reproduire, son impact potentiel, et — si possible — une suggestion de correctif.

Nos engagements

• Accusé de réception de votre signalement sous 48 heures ouvrées.
• Mise à jour de l'avancement de la correction sous 7 jours.
• Aucune action légale contre les chercheurs en sécurité agissant de bonne foi.
• Crédit public dans notre Hall of Fame sécurité (si vous le souhaitez).

Hors scope

• Attaques nécessitant un accès physique aux serveurs.
• Ingénierie sociale ou phishing ciblant l'équipe Krysme.
• Vulnérabilités dans des services tiers non maintenus par Krysme.
• Tests de performance ou de charge non autorisés.

Pour tout signalement de sécurité ou question relative à la protection de vos données :