Chiffrement des échanges
Toutes les connexions se font en HTTPS (TLS) avec redirection automatique depuis HTTP et en-tête HSTS.
Authentification
Les mots de passe sont stockés sous forme hachée (jamais en clair). Les sessions durent 8 heures au maximum et se ferment à la déconnexion. La connexion Google (OpenID Connect) est proposée en alternative. Les comptes administrateurs exigent une double authentification (TOTP).
Protection contre les abus
Limitation du nombre d’essais de connexion, d’inscription et de réinitialisation par adresse et par IP ; protection CSRF sur tous les formulaires ; validation d’un compte par un administrateur avant tout accès aux contenus.
Fichiers
Les documents ne sont accessibles qu’aux comptes expressément autorisés, avec journalisation des téléchargements. Les envois sont contrôlés (type, taille, signature du fichier).
Navigateur
Politique de sécurité de contenu (CSP), interdiction d’intégration dans un cadre tiers, désactivation de la caméra, du micro et de la géolocalisation, X-Content-Type-Options.
Infrastructure
Serveur dédié durci : accès administrateur par clé uniquement, pare-feu limité aux ports web et SSH, bannissement automatique des IP abusives, mises à jour de sécurité automatiques.
Signaler une vulnérabilité
Si vous pensez avoir découvert une faille, écrivez à solaris@effiblue.com avec les éléments permettant de la reproduire. Merci de ne pas accéder aux données d’autres utilisateurs et de nous laisser le temps de corriger avant toute divulgation. Voir aussi /.well-known/security.txt.