Une sécurité intégrée à chaque couche
Résidence des données dans l'UE, TLS 1.2+ en transit, chiffrement au niveau des champs pour les token sensibles, une politique de divulgation RFC 9116 et une réponse aux incidents engagée par écrit. Voici précisément ce que nous faisons, avec qui les données sont partagées et comment signaler un problème.
Des engagements concrets, pas des platitudes
Les quatre chiffres qui comptent pour un administrateur d'espace de travail qui nous évalue face à une checklist d'entreprise.
Comment signaler une découverte
Divulgation coordonnée, en texte clair, aucun NDA à signer avant de signaler. Les chercheurs agissant de bonne foi sont protégés de toute action en justice.
Accuser réception
Réponse humaine depuis [email protected] confirmant la réception & attribuant un identifiant de suivi.
Tri
Gravité évaluée (alignée sur CVSS), reproduction confirmée, ticket interne ouvert avec une échéance de divulgation.
Remédier
Objectifs fermes par gravité : critique <30 j, élevée <60 j, moyenne <90 j. Le chercheur reste informé.
Accuser réception
Reconnaissance écrite de la découverte et, avec l'accord du chercheur, un remerciement public dans les notes de version.
Dans le périmètre À signaler
- ks-agents.com et tous les sous-domaines (production, staging, marketing).
- Les API REST & GraphQL de KS-Agents.
- L'application Slack de KS-Agents — slash commands, Events API, flux OAuth, interactivité.
- Le bot Microsoft Teams de KS-Agents.
- Tous les dashboards destinés aux clients, vues intégrées comprises.
Hors périmètre Inutile de signaler
- Ingénierie sociale, phishing, attaques physiques.
- DoS / DDoS volumétrique ou fuzzing des limites de débit.
- Header de bonnes pratiques absents sans impact démontrable.
- Vulnérabilités dans les services tiers utilisés (à signaler en amont).
- Sortie de scanner non validée sans PoC élaboré à la main.
Défense en profondeur, couche par couche
Ce que nous faisons réellement — non ce qu'une page marketing aspirationnelle prétend. Chaque ligne ci-dessous correspond à du code, une configuration ou un contrat précis.
Identité & accès
Des options d'authentification qui répondent aux exigences d'achat des grandes entreprises.
- SSO Entra ID (OIDC) pour la connexion à l'échelle du tenant
- Solutions de repli Google OAuth & LinkedIn OAuth
- Provisionnement des utilisateurs via SCIM 2.0
- MFA imposé sur les comptes du personnel
- Octroi de droits par utilisateur dans la couche Slack
Protection des données
TLS en transit, chiffrement au niveau des champs pour les token sensibles, stockage hébergé dans l'UE.
- TLS 1.2+ pour tout le trafic, préchargement HSTS
- Fernet (AES-128-CBC + HMAC-SHA256) pour les token de bot & les enregistrements du module d'audit
- Clé maître par environnement, renouvelée pour chaque environnement
- Snapshots quotidiens de la base de données, les 7 plus récents conservés
- Juridiction UE de Cloudflare R2 pour les médias clients
Durcissement des intégrations
Spécifiquement pour les intégrations Slack et Teams.
- Vérification HMAC-SHA256 sur chaque webhook Slack
- Tolérance d'horodatage de 5 minutes (prévention du rejeu)
- Déduplication des Event-ID via Redis (TTL d'une heure)
- Isolation inter-tenants imposée au niveau de la base de données
- Token de magic-login : TTL de 2 min, usage unique, consommation atomique
Qui traite les données, et où
L'ensemble minimal requis pour faire fonctionner la plateforme. Clauses contractuelles types signées avec chaque fournisseur hors UE. Liste complète et DPA sur /legal/subprocessors/.
| Fournisseur | But | Région |
|---|---|---|
| Hetzner | Hosting de l'application + de la base de données | UE · Finlande |
| Cloudflare R2 | Stockage objet (médias, exports) | Juridiction UE |
| OpenAI | Inférence LLM (texte, embeddings) | Endpoint UE lorsque disponible |
| Google Cloud (Vertex AI) | Inférence LLM (voix, texte) | europe-west4 (NL) |
| Microsoft Azure OpenAI | Inférence LLM (repli UE) | Sweden Central |
| Requesty | Couche de routage LLM (ZDR) | Proxy sans état |
| Stripe | Facturation & abonnements | Mondial, SCC signées |
| Postmark / Resend | Emails transactionnels | États-Unis, SCC signées |
| Iubenda | Politique de confidentialité & gestion du consentement | UE |
Transparents sur ce que nous avons et n'avons pas
Nous indiquons en toute transparence quels frameworks sont effectivement mis en œuvre et lesquels figurent sur la roadmap. Aucune affirmation marketing impossible à étayer.
Activement suivis En place
- GDPR — DPA disponible sur /legal/dpa/, effacement Art. 17 sous 30 jours.
- RFC 9116 — security.txt publié & à jour.
- EU Data Privacy Framework — conforme à Schrems II, SCC signées dès lors que des données quittent l'UE.
- Pentesting AI continu en interne (outil Shannon).
Sur la roadmap Pas encore
- Test d'intrusion externe formel.
- Chiffrement au repos du volume Postgres (LUKS) et des snapshots de la base de données.
Une découverte ? Prévenez-nous en premier.
Les signalements effectués de bonne foi et dans le cadre de cette politique sont protégés de toute action en justice. Une reconnaissance écrite est adressée au chercheur pour chaque découverte acceptée.
[email protected]