Dans l'environnement complexe et réglementé d'aujourd'hui, nos utilisateurs nous confient la protection de leurs données à l'aide d'outils et de pratiques conformes aux normes de l'industrie. Cette page donne un aperçu des efforts déployés par Netatoo pour répondre à ces exigences.
Pour commencer, nous sécurisons notre couche de persistance en limitant l'accès à notre base de données d'application primaire à la couche d'application et à un ensemble fixe d'adresses IP connues appartenant à Netatoo. Cette limitation d'accès est réalisée à l'aide d'une combinaison de règles de pare-feu, de mécanismes d'authentification (exigeant que les utilisateurs prouvent leur identité) et d'autorisation par le biais de permissions basées sur les rôles.
Nous abordons la possibilité d'une perte catastrophique de données d'application (par exemple à la suite d'une catastrophe naturelle) en créant automatiquement des sauvegardes de base de données avec une approche géo-redondante.
Nous créons des sauvegardes complètes et différentielles, dont chacune est chiffrée avec l’algorithme AES-256.
Les sauvegardes complètes des bases de données ont lieu toutes les quelques heures, tandis que les sauvegardes différentielles ont généralement lieu toutes les heures, enfin les sauvegardes des journaux de transactions ont généralement lieu toutes les 10 à 15 minutes.
En cas de perte de données, nous sommes en mesure de restaurer les données à un moment précis afin de minimiser la perte d’informations. L’intégrité des sauvegardes est vérifiée de manière semi-automatique et régulière afin de s’assurer que les données stockées sont conformes.
Les sauvegardes sont conservées pendant 90 jours, puis détruites.
Pour nous aider à maintenir la conformité réglementaire, à comprendre l'activité de la base de données et à mieux comprendre les divergences et les anomalies qui pourraient indiquer des violations présumées de la sécurité (un autre aspect du RGPD de l'UE), nous avons déployé un audit avancé permettant la détection des menaces sur nos serveurs. Ces services détectent les menaces potentielles au fur et à mesure qu'elles se produisent (ex. connexions anormales aux bases de données, vulnérabilités d'injection SQL) et alertent immédiatement notre équipe afin qu'elle puisse prendre les mesures nécessaires. Dans le cas particulier du RGPD, ce service constitue un élément clé de la machine technique qui nous permet de détecter les violations de données et de notifier les autorités de contrôle dans le cas improbable où une telle situation se produirait.
Au niveau de la couche application, nous forçons toutes les demandes entrantes à utiliser des connexions sécurisées HTTPS (HTTP sur TLS). Selon le périphérique client, la connexion peut utiliser TLS 1.0, TLS 1.1.1 ou TLS 1.2. Nous interdisons les connexions utilisant les protocoles dépassés et vulnérables SSL 2 et SSL 3.
Les connexions TLS acceptées sont cryptées à l'aide d'un certificat SSL utilisant le standard web le plus fort. Dans le cadre de toutes les réponses HTTPS, nos serveurs comprennent un certain nombre d'en-têtes de sécurité avancée. Celles-ci incluent notamment :
X-XSS-Protection ordonne aux navigateurs modernes d'interrompre les communications lorsqu'ils détectent des attaques XSS (Cross-site Scripting) réfléchies.
Content-Security-Policy demande aux navigateurs de prendre des mesures strictes pour empêcher les cross-site scripting (XSS), les détournements de clics (clickjacking) et autres attaques par injection de code résultant de l'exécution de contenu malveillant dans le contexte d'une page Web de confiance.
Strict-Transport-Security aussi connu sous le nom de HSTS. Demande aux navigateurs de n'accéder à ballejaune.com / openresa.com qu'en utilisant HTTPS (c.-à-d. ne jamais utiliser HTTP). Nous avons déployé cet en-tête avec une longue durée de vie.
Expect-CT demande à un client/navigateur Web d'appliquer les exigences en matière de transparence des certificats (c.-à-d. vérifier que les certificats de notre site apparaissent dans les journaux de CT publics), ce qui aide à prévenir l'utilisation de certificats Netatoo incorrects.
Referrer-Policy nous permet de contrôler la valeur de l'en-tête "referer" (sic) pour les liens en dehors de nos pages. Dans notre cas, nous spécifions que l'en-tête "referer" ne doit pas être défini lorsque la navigation aboutit à un downgrade de HTTPS à HTTP.
Netatoo reçoit une note "A" de la part du service indépendant securityheaders.io permettant de vérifier les différents éléments mis en place. Vous pouvez exécuter le test à la demande pour ballejaune.com et openresa.com et visualiser le rapport par vous-même. Nous vous encourageons également à comparer le test à d'autres sites Web que vous utilisez ou que vous avez l'intention d'utiliser.
Les serveurs d'hébergement d'applications Netatoo reçoivent également une note "A+" du test de serveur indépendant Qualys SSL Labs, standard de l'industrie. Vous pouvez exécuter le test à la demande et visualiser le rapport par vous-même. Le rapport note que nous ne sommes pas vulnérables à certaines des vulnérabilités les plus récentes comme BEAST, POODLE et Heartbleed. Encore une fois, nous vous encourageons à comparer le test à d'autres sites Web que vous utilisez ou que vous avez l'intention d'utiliser.
Pour aider à prévenir les attaques de dictionnaire, notre mécanisme de connexion utilise en outre la fonctionnalité de verrouillage de compte si un mot de passe de connexion incorrect est entré plusieurs fois.
Les cookies envoyés par le serveur au client à des fins d'authentification et de vérification des demandes sont toujours marqués avec les attributs "HttpOnly" et "Secure", et leurs valeurs de domaine et de chemin d'accès sont définies de manière appropriée pour une utilisation avec ballejaune.com / openresa.com.
En ce qui concerne les paiements en ligne, Netatoo est conforme à la norme PCI. Dans la pratique, tous les paiements sont traités directement avec la passerelle de paiement que vous avez choisie (PayPal, Paybox Verifone). En tant que tel, aucun détail de paiement sensible n'entre en contact avec les systèmes appartenant à Netatoo (au lieu de cela, il est redirigé de manière transparente vers votre passerelle et ensuite géré par le biais d'une approche basée sur des jetons).
Les e-mails transactionnels envoyés par nos services utilisent les dernières fonctionnalités de sécurité pour la validation des e-mails. Il s'agit notamment des politiques valides du SPF, du DKIM et de la DMARC. Dans le cas de la DMARC, notre politique publiée demande aux serveurs des destinataires de mettre en quarantaine tous les messages qui ne passent pas le test de la DMARC. Ces fonctionnalités sont des outils avancés qui aident à prévenir le spamming, le spoofing et les attaques de phishing. Naturellement, nous incluons également des liens de désabonnement sur tous les courriels que nous envoyons, et nous avons mis en place un système de limitation de débit pour aider à prévenir les attaques par bombardement de courriels.
Au niveau organisationnel, les employés de Netatoo ont un accès restreint aux données sur les principes de sécurité "besoin de savoir" et "moindre privilège". Les systèmes de développement et de test sont déployés sur un réseau interne qui n'est pas accessible de l'extérieur. Le code source de l'application est géré dans un référentiel privé et ne contient aucune information sensible (comme les clés API, les mots de passe ou les chaînes de connexion).
En cas d'incidents (p. ex. pannes d'applications, performances dégradées ou autres), vous pouvez suivre l’état de nos services via Pingdom à l’adresse suivante : http://stats.pingdom.com/rn0d9ch52vnj/1678478
Enfin, nous attachons une attention toute particulière à mettre à jour régulièrement nos serveurs et systèmes internes afin d’apporter les derniers correctifs de sécurité. Nous changeons nos mots de passe tout les 60 jours et nous utilisons une authentication à double-facteur sur la quasi totalité des applications et services tiers que nous utilisons dans le cadre de notre métier.
Nous espérons que ces informations vous ont aidé à comprendre les principaux mécanismes de sécurité mis en place par Netatoo pour sécuriser vos données. Nous revoyons continuellement nos procédures de sécurité, de sorte que ces informations pourraient bien changer à l'avenir à mesure que nous réagissons à l'évolution du paysage de la sécurité.
Contactez-nous
Si vous avez des questions ou souhaitez de plus amples informations, veuillez nous contacter par l'un des moyens suivants :
Adresse postale :
Netatoo SAS
BP 43606
54016 NANCY CEDEX
FRANCE
Courriel :
support@ballejaune.com