Comment Antisy protège les données.
Ce qui est chiffré, combien de temps les données sont gardées, où elles seront hébergées, qui y accède, et comment nous signaler une faille. Chaque ligne reprend ce que disent déjà nos documents ; ce qui n’est pas encore écrit est dit comme tel.
Antisy SARL, société suisse en création ; hébergement en Suisse prévu, pas encore en service. État au .
Chiffrement
Ce qui est chiffré, et comment.
Les données des visiteurs de vos sites
- Au repos
- L’adresse IP, le User-Agent, le contexte de la requête et les mesures du navigateur sont chiffrés en base tant qu’ils sont gardés, avec destruction possible des clés. L’identifiant d’événement que votre site choisit de transmettre l’est aussi, 30 jours au plus. Ne sont pas chiffrés : un condensé de noms d’en-têtes HTTP, jamais leurs valeurs, gardé en clair, 30 jours au plus ; un index aveugle (un condensé à clé) de l’adresse IP et de l’identifiant de connexion, gardé aussi longtemps qu’eux, et un autre de l’identifiant d’événement, qui ne sert qu’à reconnaître la reprise d’une même tentative et s’efface passé 25 heures ; le reste de l’enregistrement, dont le verdict et la famille du navigateur.
- Identifiant de connexion
- Pour une connexion ou une inscription, l’identifiant de compte que votre site transmet est chiffré et condensé.
- Du navigateur à Antisy
- Les mesures du navigateur partent dans une enveloppe chiffrée.
- Base de données
- Rôles à privilèges limités. La base est sur le serveur de l’API, qui la joint sans sortir de la machine ; une connexion par le réseau n’est acceptée qu’en TLS vérifié.
Ce site et votre compte
- Cette vitrine
- Le tableau de bord n’est pas encore ouvert, et cette vitrine n’a ni compte ni base de données : ce qui suit décrit le compte tel qu’il fonctionnera.
- Pages du site
- Le site envoie des en-têtes de sécurité sur toutes ses pages, dont HSTS, qui demande aux navigateurs de ne s’y connecter qu’en HTTPS.
- Mot de passe
- Conservé sous forme de condensé (scrypt), jamais en clair.
- Essais de mot de passe
- Comptés par compte, en plus des limites par adresse. Au-delà de 20 essais en une heure sur un même compte, d’où qu’ils viennent, les navigateurs où ce compte n’a, depuis 180 jours, ni terminé de connexion, code compris, ni activé la vérification en deux étapes n’ont plus droit, ensemble, qu’à un essai toutes les 30 secondes. Tant que dure la série, une connexion depuis l’un de ces navigateurs peut être refusée, même avec le bon mot de passe ; « mot de passe oublié » n’en dispense pas. Le navigateur où vous l’avez fait n’est pas ralenti par ce compteur, mais un navigateur n’est reconnu que pour le dernier compte qui s’y est ainsi connecté. Ces deux nombres, 20 essais et 30 secondes, sont des hypothèses, à revoir après le pilote.
- Vérification en deux étapes
- Obligatoire pour chaque compte : le tableau de bord ne s’ouvre pas tant qu’elle n’est pas activée. Le secret de votre application d’authentification est chiffré et vos codes de secours sont conservés sous forme de condensés. Après des codes faux, le compte est verrouillé pour un temps de plus en plus long et son titulaire est prévenu par e-mail. Si vous perdez votre téléphone et vos codes de secours, la demande se fait depuis l’adresse du compte : nous envoyons à cette adresse un lien de confirmation, puis attendons 72 heures sans opposition après le clic avant de retirer la vérification ; à la connexion suivante, vous ajoutez votre nouvelle application avant toute autre chose.
- Session
- Un cookie de connexion inaccessible au JavaScript, valable 7 jours. Après une connexion terminée avec le code, ou l’activation de la vérification en deux étapes, un cookie d’appareil, inaccessible au JavaScript, valable 180 jours, qui ne sert qu’à reconnaître ce navigateur dans le compteur des essais.
- Clés et secrets
- La clé d’API et le secret de signature ne sont affichés qu’une fois, à la création. De la clé d’API, Antisy ne garde qu’un condensé ; le secret de signature est gardé chiffré, parce que l’API en a besoin pour vérifier les signatures. Une clé d’API perdue se révoque et se recrée dans l’onglet Clés du site ; un secret de signature, perdu ou à remplacer, se remplace en écrivant au support, qui en émet un nouveau. À ce jour, les listes d’autorisation et de blocage d’un site se posent et se retirent aussi sur demande écrite au support : le tableau de bord ne les gère pas.
- Sauvegardes du site
- La base du site est sauvegardée chaque jour ; chaque copie est chiffrée et conservée 7 jours au plus.
Conservation
Des durées écrites à l’avance.
Ce qu’Antisy garde des visiteurs de vos sites, à compter de la tentative, et jusqu’à quand.
| Délai | Donnée |
|---|---|
| Quelques minutes | Mesures du navigateurquelques minutes ; une partie, 30 jours si la conservation est allumée pour le site (éteinte par défaut) |
| 30 jours | Adresse IP, User-Agent, contexte de la requêteet le condensé de l’ordre des en-têtes HTTP |
| 90 jours | Identifiant de connexion, issue de la tentativechiffré et condensé |
| 180 jours au plus | Le reste de l’enregistrementverdict et son détail, famille de navigateur, horodatages ; puis l’enregistrement est supprimé |
Durées décidées par Antisy, à confirmer par un juriste avant la mise en service. Après 90 jours, un enregistrement ne porte plus ni l’identifiant de connexion ni l’adresse. Donnée par donnée, dans la politique de confidentialité.
Autres données
- Liste d’attente et contact
- Pendant le lancement, un e-mail à support@antisy.com : la boîte est chez Hostinger, et l’e-mail y est gardé 90 jours à compter de sa réception, puis supprimé.
- Sauvegardes de l’API
- Chiffrées, prévues : un export par jour, gardé 14 jours (décision d’Antisy), et une copie par semaine hors de l’hébergeur, gardée 14 jours au plus. Une donnée effacée peut y rester jusqu’à 14 jours. Pour qu’une restauration ne fasse pas revenir une personne effacée, un registre tenu hors de la base garde son index aveugle 30 jours, 44 jours au plus avec ses copies. Durées à confirmer par un juriste.
Hébergement et accès
Où sont les données, qui y accède.
Hébergement
- Chez qui
- L’hébergement est prévu chez Infomaniak, en Suisse ; il n’est pas encore en service.
- Cette vitrine
- Pendant le lancement, des pages statiques hébergées provisoirement chez Hostinger, dans un centre de données aux Pays-Bas, sans formulaire, sans compte et sans cookie déposé par le site.
- Mesure d’audience
- PostHog, données gardées dans l’Union européenne (Allemagne) : pages vues, sorties de page et clics, sans les paramètres des adresses, sans cookie ni stockage dans le navigateur, sans enregistrement de session ni profil ; « Do Not Track » et « Global Privacy Control » respectés, et la mesure se refuse dans la politique de confidentialité.
- Relais d’e-mails
- Le relais SMTP d’Infomaniak (Suisse), retenu ; pas encore en service. Il voit les adresses et les contenus des e-mails du site, pour le compte d’Antisy.
Accès
- Votre site
- Ne reçoit pas les mesures du navigateur de ses visiteurs : il reçoit un jeton, puis un verdict.
- Responsabilité
- Pour les visiteurs de vos sites, votre site est responsable du traitement et Antisy agit comme sous-traitant (LPD art. 9), sous contrat. Les données servent à la sécurité de votre site, jamais à la publicité.
- Tableau de bord
- Un compte par personne, avec un e-mail, un mot de passe et la vérification en deux étapes, obligatoire.
- Personnel d’Antisy
- Les mesures organisationnelles et la journalisation des accès ne sont pas encore écrites : voir plus bas.
Ce qui n’est pas encore écrit
Nos documents sont des projets, à valider par un avocat. Ces points y sont marqués « à compléter » ; nous ne les annonçons pas avant de les avoir décidés.
- Les mesures organisationnelles, la journalisation des accès et les tests.
- Le délai d’annonce d’une violation de la sécurité des données.
- La liste des sous-traitants ultérieurs, et les transferts hors de Suisse.
- La durée de conservation de la sauvegarde du serveur de l’hébergeur, et ses journaux d’accès.
- Pour les visiteurs de l’Union européenne, l’avis écrit d’un juriste, qui n’est pas obtenu.
- Aucune certification de sécurité n’est annoncée.
À lire : la politique de confidentialité et le modèle de contrat de traitement, deux projets.
Signaler une faille
Une faille ? Écrivez-nous.
Écrivez à support@antisy.com, la seule adresse de support d’Antisy. Elle est aussi publiée dans le fichier security.txt.
Dites ce que vous avez constaté, où (l’adresse, l’étape) et comment le reproduire.
- Aucune clé de chiffrement n’est publiée pour l’instant : n’envoyez dans le message ni secret ni données personnelles de tiers.
- Antisy est une société en création : aucun délai de réponse n’est arrêté à ce jour.