Sécurité
La sécurité se décide sur le serveur, à chaque fois
Chaque requête est vérifiée par notre API : qui vous êtes, ce que vous possédez et ce que vous êtes autorisé à faire. C’est ainsi que nous protégeons votre compte, votre licence et le logiciel que vous téléchargez.
Comment nous vous protégeons
Une défense à tous les niveaux
Autorisation côté serveur
L’API décide de chaque session, licence, activation et téléchargement. Masquer un bouton dans le navigateur n’est jamais ce qui protège quoi que ce soit.
Stockage robuste des mots de passe
Les mots de passe sont hachés avec Argon2id. Nous exigeons au moins 15 caractères et refusons les mots de passe courants ainsi que ceux qui contiennent votre adresse e-mail.
Sessions protégées
Les cookies de session sont HttpOnly : les scripts de la page ne peuvent donc pas les lire. Les sessions prennent fin après une période d’inactivité et au-delà d’une durée maximale fixe, et vous pouvez y mettre fin vous-même.
Protection intersite
Les requêtes qui modifient quoi que ce soit sont refusées si elles ne proviennent pas de ce site, même avec une session valide.
Jetons de bureau de courte durée
L’application de bureau utilise des jetons d’accès qui expirent au bout de 15 minutes et des jetons d’actualisation qui changent à chaque utilisation.
Accès du personnel à deux facteurs
Le personnel a besoin d’un code d’authentification pour se connecter, et d’un nouveau code avant les actions à haut risque. Les sessions du personnel expirent aussi plus tôt.
Téléchargements privés et vérifiés
Les installateurs sont fournis uniquement via des liens signés qui expirent au bout de 5 minutes, avec des sommes de contrôle SHA-256 calculées sur nos serveurs.
Journal d’audit non modifiable
Les actions sensibles sont enregistrées dans un journal d’audit que la base de données ne permet à personne de modifier ni de supprimer. Les mots de passe, clés et jetons sont retirés de nos journaux.
Politiques de navigateur strictes
Chaque page envoie une Content Security Policy avec un nouveau nonce, et les autres sites ne peuvent pas intégrer ce site dans un cadre.
Les limites actuelles en bref
- Hachage des mots de passe
- Argon2id
- Longueur minimale du mot de passe
- 15 caractères
- Sessions clients
- Expirent après 60 minutes d’inactivité, 12 heures au maximum
- Sessions du personnel
- Expirent après 15 minutes d’inactivité, 8 heures au maximum
- Jeton d’accès de bureau
- 15 minutes
- Lien de téléchargement
- 5 minutes
- Code d’activation
- 10 minutes
- Lien de confirmation d’e-mail
- 24 heures, usage unique
- Lien de réinitialisation du mot de passe
- 30 minutes, usage unique
- Intégrité des installateurs
- Somme de contrôle SHA-256 pour chaque version
Ce que nous ne vous demanderons jamais
- Votre mot de passe
- Votre Activation Key
- Les codes d’activation à usage unique ou les codes d’authentification
- Les liens de réinitialisation du mot de passe ou de confirmation d’e-mail