Confiance et sécurité
Sécurité
Dernière mise à jour : juin 2026
La sécurité est un fondement, pas un ajout de dernière minute
Toutes les données clients sont chiffrées au repos et en transit. Nous suivons les pratiques standard du secteur en matière de contrôle des accès, de gestion des secrets et de réponse aux incidents.
Infrastructure technique
- Base de données gérée : Les données de l’application sont conservées dans une base PostgreSQL gérée (Supabase), avec des sauvegardes automatiques chiffrées.
- Chiffrement au repos : Les volumes de la base de données sont chiffrés avec AES-256 par défaut.
- Chiffrement en transit : Tout le trafic utilise TLS 1.2+, imposé au niveau du CDN (Cloudflare). HTTP est redirigé vers HTTPS.
- Réseau edge : Le service est distribué via Cloudflare, qui fournit une atténuation des attaques DDoS et une protection WAF.
Authentification et contrôle des accès
- Authentification sans mot de passe : Nous utilisons des liens de connexion et des clés d’accès WebAuthn. Aucun mot de passe ne peut être compromis.
- Cookies de session : HttpOnly, Secure, SameSite=Lax. Les sessions sont signées cryptographiquement avec un secret soumis à rotation.
- Accès interne : Les systèmes de production exigent MFA. L’accès à la base de données est réservé à des ingénieurs nommément désignés, selon des autorisations basées sur les rôles.
Paiements
Les paiements sont traités exclusivement par Stripe (conforme à PCI-DSS niveau 1). Papigrows ne voit, ne conserve et ne transmet jamais de numéros de carte. Les jetons Stripe sont les seules données de facturation que nous conservons.
Intégrations tierces
Les jetons OAuth des connexions CMS (Webflow, Shopify) sont chiffrés avec AES-256-GCM avant leur écriture dans la base de données. Nous demandons uniquement les autorisations OAuth nécessaires.
Signalement responsable des vulnérabilités
Si vous découvrez une vulnérabilité de sécurité, signalez-la à [email protected]. Nous visons à accuser réception des signalements sous 24 heures et à résoudre les problèmes critiques sous 72 heures. Nous n’engageons pas de poursuites contre les chercheurs agissant de bonne foi.
GDPR et traitement des données
Consultez notre politique de confidentialité pour tous les détails sur la collecte et la conservation des données, vos droits au titre du GDPR et notre accord de traitement des données (DPA), disponible sur demande.
Nous contacter
Questions de sécurité : [email protected]
Contact général : [email protected]