← Retour à l'accueil
Sécurité
La confiance se mérite. Voici, en toute transparence, les mesures techniques et organisationnelles que nous mettons en œuvre pour protéger vos données et votre activité.
🔐 Chiffrement
Vos données sont protégées en transit et au repos.
- TLS 1.2 ou 1.3 sur 100% des connexions web et API
- AES-256-GCM sur les jetons OAuth réseaux sociaux (jamais en clair)
- Base de données chiffrée au repos par son hébergeur, Supabase
- Sauvegardes chiffrées avant toute copie, clé privée conservée hors du serveur
- Mots de passe hashés via bcrypt (Supabase Auth)
🚪 Authentification
Double authentification et sessions encadrées.
- Session Supabase dans un cookie propre au site (SameSite=Lax), sans cookie tiers
- Double authentification par application (TOTP)
- Support Google OAuth (avec 2FA si activé côté Google)
- Rate limiting natif sur les tentatives de connexion
- Jetons d'accès de courte durée, renouvelés par un jeton de rafraîchissement à usage unique
🛡️ Isolation multi-tenant
Vos données sont strictement séparées de celles d'autres organisations.
- Row Level Security PostgreSQL activé sur 100% des tables
- Politiques RLS basées sur org_id, isolation garantie au niveau base
- Tests automatisés d'isolation entre organisations dans la suite de tests du projet
- Service Role Key strictement réservée aux API serveur (jamais exposée côté client)
📋 Journalisation et audit
Toutes les actions sensibles sont tracées.
- Journal d'audit en lecture seule depuis l'application : connexions, modifications de rôles, publications, exports RGPD
- Journal conservé pendant la durée du compte de l'organisation
- Logs structurés JSON (Pino), pas de fuite d'informations sensibles
🌐 Sécurité applicative
Protections contre les vulnérabilités web courantes.
- Validation Zod sur 100% des entrées API (frontières strictes)
- Protection SSRF sur les webhooks sortants (DNS + RFC1918 + blacklist ports)
- En-têtes HTTP de sécurité : CSP, HSTS, X-Frame-Options, Referrer-Policy
- Préfixage anti-injection CSV sur les exports (cellules =/+/-/@)
- Idempotence Stripe via table dédiée (anti-replay)
💾 Sauvegardes et continuité
Vos données sont sauvegardées chaque jour, chiffrées, sur le serveur et hors site.
- Sauvegarde automatisée chaque nuit de la base de données et des fichiers
- Archives chiffrées avant toute copie, clé privée conservée hors du serveur
- Conservation en principe : 30 jours sur le serveur, 90 jours hors site (Google Drive) ; les dernières sauvegardes sont gardées plus longtemps si un incident interrompt leur rotation
- Procédure de restauration écrite, testée sur des données de test
🔍 Monitoring
Surveillance continue et alerting.
- Sentry pour la détection d'erreurs : adresses sans paramètres ni ancre, texte masqué et images bloquées dans les enregistrements de session
- État des composants consultable à tout moment sur /status
- Alerting e-mail sur incidents critiques
- Mesures de performance relevées sur une partie des visites (Sentry)
🤖 IA responsable
Vos contenus ne servent pas à entraîner les IA.
- Modèle Anthropic Claude via API entreprise, pas d'entraînement sur vos données
- Aucune décision automatisée produisant des effets juridiques à votre égard (art. 22 RGPD)
- Publication sans relecture possible avec l'autopilote, mais désactivée par défaut : elle demande une activation explicite, chaque contenu passe d'abord les contrôles automatiques de style et de conformité, et les contenus publiés sans relecture portent une mention signalant l'aide de l'IA (AI Act art. 50)
- Textes générés par l'API d'Anthropic à partir de vos consignes, conservés chez ce fournisseur pour une durée limitée fixée par ses conditions commerciales
- Possibilité de désactiver l'IA et utiliser uniquement la publication manuelle
📜 Conformité
Cadence respecte les normes européennes et françaises.
- Droits RGPD outillés : export (art. 20), suppression du compte (art. 17), accord de sous-traitance (art. 28)
- Application hébergée à Francfort (Allemagne), base de données en Irlande
- Transferts hors UE vers Anthropic, OpenAI et Resend encadrés par les Clauses Contractuelles Types 2021/914/UE
- Copie hors site des sauvegardes sur Google Drive, envoyée uniquement chiffrée
- Sous-traitants, localisations et garanties listés dans le DPA
🐛 Programme de divulgation responsable
Vous avez identifié une vulnérabilité ? Nous accueillons les signalements responsables de la part de chercheurs en sécurité.
1. Comment signaler : envoyez un email à security@getcadence.fr avec une description détaillée, une preuve de concept, et les étapes de reproduction.
2. Ce que nous faisons : nous accusons réception du signalement, le qualifions, puis corrigeons la vulnérabilité en donnant la priorité aux plus graves, et vous tenons informé de l'avancement.
3. Ce qui est dans le périmètre : tous les sous-domaines
*.getcadence.fr, l'API publique, le mécanisme OAuth, les webhooks. L'ancien domaine cadence.newspark.fr reste dans le périmètre tant qu'il répond : il redirige vers la même infrastructure jusqu'à sa coupure, prévue en mars 2027.4. Ce qui est hors périmètre : sites tiers (Stripe, Supabase), attaques DoS, ingénierie sociale, vulnérabilités spécifiques à un navigateur obsolète.
5. Reconnaissance : les chercheurs ayant contribué de manière substantielle sont remerciés publiquement (avec leur accord) sur la présente page.
📑 En résumé
RGPD
Export, effacement et DPA (art. 17, 20, 28)
Hébergement dans l'UE
Application à Francfort, base de données en Irlande
Sauvegardes chiffrées
Chaque jour, chiffrées avant toute copie