Aperçu de la sécurité

Chiffrement

Données en transit

• TLS 1.2+ requis pour toutes les connexions API et SMTP.
• TLS 1.3 préféré lorsque pris en charge par le MTA destinataire.
• Politique MTA-STS avec mode: enforce pour le SMTP entrant.
• DANE (enregistrements TLSA) pour la livraison SMTP sortante.
• WireGuard ou réseau privé pour la communication inter-services.

Données au repos

• Chiffrement AES-256-GCM pour le contenu des messages et les pièces jointes.
• Argon2id pour le hachage des mots de passe (résistant à la mémoire, aux attaques GPU/ASIC).
• Volumes de base de données chiffrés (LUKS/dm-crypt).
• Sauvegardes chiffrées avec gestion séparée des clés.
• Clés de chiffrement gérées par le client sur les forfaits Dedicated Tenant et BYOC.

Authentification et contrôle d’accès

• Clés API limitées par environnement (live/test) avec permissions configurables.
• Signatures HMAC des webhooks (SHA-256) pour l’intégrité des charges utiles d’événements.
• SAML SSO et provisionnement SCIM (forfaits Business et Enterprise).
• Contrôle d’accès basé sur les rôles (RBAC) avec rôles personnalisés sur le forfait Enterprise.
• Authentification multi-facteurs (TOTP) pour l’accès au tableau de bord.
• Gestion des sessions avec délai d’expiration configurable et liaison IP.

Sécurité des applications

Pare-feu applicatif Web (WAF)

• Détection d’injection SQL (basée sur AST).
• Détection XSS (basée sur AST).
• Règles compatibles OWASP CRS.
• Validation et assainissement des entrées sur tous les points de terminaison API.
• Limitation de débit par point de terminaison et clé API.

Détection et prévention d’intrusion (IDS/IPS)

• Détection basée sur les signatures.
• Détection d’anomalies de protocole.
• Suivi des connexions et alertes.

Protection DDoS (défense à 5 couches)

1. Couche 3/4 : Limitation de débit, protection contre les inondations SYN
2. Couche 7 : Analyse de signature des requêtes, défi-réponse
3. Détection d’anomalies basée sur le ML
4. Protection de la machine d’état SMTP
5. Étranglement adaptatif

Authentification API

• Tous les points de terminaison API nécessitent l’en-tête X-API-Key avec une clé API limitée.
• Signatures des webhooks vérifiées via HMAC-SHA256.
• OAuth 2.0 pour les intégrations tierces (connexion Google, GitHub).
• Authentification basée sur les sessions avec cookies sécurisés HTTP-only pour l’accès au tableau de bord.

Vérification de l’intégrité du système

L’intégrité du système est vérifiée par des contrôles automatisés et récurrents sur l’ensemble de la pile de déploiement et d’exécution :

Sécurité de l’infrastructure

• Hetzner Online GmbH (centres de données en Allemagne et en Finlande) pour le calcul, le stockage et le réseau.
• Systèmes d’exploitation Debian/Ubuntu renforcés CIS.
• Correctifs de sécurité automatisés avec déploiement progressif.
• Infrastructure immuable via infrastructure-as-code.
• Segmentation réseau entre les plans d’application, de données et de gestion.
• Isolation réseau : serveurs d’application, serveurs de base de données et interfaces de gestion sur des VLAN séparés.
• Gestion des secrets via secrets scellés et isolation d’environnement.

Gestion des vulnérabilités

• Analyse automatisée des dépendances dans le pipeline CI/CD.
• Analyse automatisée des vulnérabilités de l’infrastructure (cadence hebdomadaire).
• Test d’intrusion annuel par un tiers (prévu — actuellement en cours d’approvisionnement ; les résultats seront publiés après le premier test et la remédiation).
• Programme de divulgation responsable : security@apexmail.ee
• Objectifs de remédiation des vulnérabilités par gravité :
  • Critique : Atténuation immédiate requise ; correction permanente dans les 7 jours.
  • Élevée : Objectif dans les 30 jours.
  • Moyenne : Objectif dans les 90 jours.
  • Faible : Basée sur le risque — traitée dans les cycles de maintenance réguliers.
  • Activément exploitée : Processus d’urgence indépendamment de la gravité.

Réponse aux incidents

• Plan de réponse aux incidents documenté avec exercices sur table semestriels et simulation complète annuelle.
• Classification de la gravité des incidents de sécurité : Critique (SEV-1), Élevé (SEV-2), Moyen (SEV-3), Faible (SEV-4).
• Page de statut mise à jour dans les 15 minutes suivant un incident SEV-1/SEV-2 confirmé. Notification client par e-mail dans l’heure pour les incidents critiques.
• Résumé post-incident dans un délai d’1 jour ouvré pour tous les incidents. Calendrier post-mortem :
  • Dans les 5 jours ouvrés pour les incidents majeurs (tous les modèles de déploiement).
  • L’analyse finale des causes racines est publiée lorsque la validation est terminée.
• Procédures de notification des violations alignées sur le RGPD Art. 33/34 (autorité de contrôle dans les 72 heures).

Preuves d’audit et de conformité

• SOC 2 Type II est prévu (objectif T2 2028, après Type I au T3 2027). Actuellement non disponible. Les contrôles internes sont cartographiés et une évaluation de préparation est en cours.
• Résumé du test d’intrusion : prévu pour publication après la réalisation du premier test d’intrusion externe de l’application et la remédiation des résultats élevés/critiques. Actuellement non disponible.
• Les questionnaires de sécurité SIG, CAIQ et HECVAT sont en cours et disponibles sur demande pour les clients Enterprise.
• Journaux d’audit avec conservation configurable (journaux d’audit premium sur Enterprise).
• Facilitation d’audit client pour les forfaits Enterprise et Dedicated Tenant.

Sécurité opérationnelle

• Vérifications des antécédents pour le personnel ayant accès à la production.
• Revues d’accès trimestrielles.
• L’accès à la production nécessite une authentification multi-facteurs et une approbation.
• Gestion des changements avec revue par les pairs et capacité de restauration.
• Séparation des tâches entre le développement et les opérations.

Liens connexes

• Centre de conformité
• Aperçu de l’architecture
• Politique de confidentialité
• Accord de traitement des données
• Politique d’utilisation acceptable
• Divulgation responsable