Dispositions de sécurité

Hébergement

La vitrine et le portail client sont hébergés en France, dans les centres de données de OVH SAS, société par actions simplifiée.

Cloisonnement entre clients

La plateforme est un SaaS mutualisé : chaque organisation cliente dispose d'un tenant dédié, cloisonné des autres, sur une infrastructure partagée. Les données d'un exercice — système d'information décrit, fournisseurs cités, vulnérabilités supposées — sont sensibles par nature : le cloisonnement entre tenants est un principe d'architecture, pas une option de configuration.

Concrètement, chaque donnée — scénario, exercice, compte, rapport — est rattachée à une seule organisation, et chaque requête est filtrée côté serveur sur l'organisation du compte connecté : un utilisateur ne peut ni lire ni modifier les données d'une autre organisation. Au sein d'une organisation, les participants ne voient ni le scénario, ni les injects à venir, ni la grille de notation.

Provisioning et paiement

La vitrine que vous consultez n'a aucun accès à la base de données ni au prestataire de paiement : c'est un site statique, sans session. La création et la suspension d'instances passent par un service dédié, jamais joignable directement depuis le web ; les événements de paiement sont journalisés puis traités de façon idempotente, pour qu'un incident réseau chez le prestataire de paiement ne crée pas d'instance en double.

Authentification

Les mots de passe comptent au moins 12 caractères et ne sont conservés que sous forme hachée ; les tentatives répétées sur un compte sont ralenties. Le second facteur d'authentification (TOTP, code à usage unique) est obligatoire pour l'administration de la plateforme, et chaque organisation cliente peut l'imposer à ses administrateurs. Les participants peuvent se connecter par l'authentification unique (SSO OpenID Connect) de leur organisation. Les sessions peuvent être révoquées à tout moment.

Chiffrement

Les échanges avec la plateforme sont chiffrés en TLS 1.2 au minimum, TLS 1.3 privilégié, y compris entre l’application et sa base de données. Les sauvegardes de la base de données sont chiffrées (AES-256). Les secrets sensibles conservés en base — second facteur d'authentification, configuration SSO des clients — sont chiffrés (AES-256-GCM) ; les mots de passe ne sont conservés que sous forme hachée.

Journalisation et preuve

Un exercice produit une chronologie horodatée des décisions, qui sert de preuve dans le rapport de retour d'expérience. Cette chronologie est immuable après clôture de la session et exportable. Elle est distincte du journal d'audit technique de la plateforme (connexions, changements de droits, actions d'administration), que chaque organisation peut transmettre à son propre SIEM par syslog.

Signaler une vulnérabilité

Écrivez à contact@vordurcyber.com, objet « [Sécurité] » : adresse ou fonction concernée, étapes pour reproduire, impact possible. Pas de chiffrement PGP pour l’instant : décrivez les données personnelles de tiers, ne les joignez pas. Voir aussi security.txt.

Périmètre. La plateforme Crisis Room et ce site. Exclus : déni de service et tests de charge, ingénierie sociale, accès physique, services de tiers (hébergeur, messagerie, fournisseurs d’identité des clients), constats sans impact démontré (en-tête manquant, bannière de version, rapport brut d’un scanner).

Règles de test. Testez avec votre propre compte (compte d’essai sur demande). N’accédez aux données d’un autre client que dans la mesure strictement nécessaire à la preuve, et arrêtez-vous dès que vous atteignez des données personnelles ou d’exercice. Ne modifiez ni ne supprimez rien qui ne vous appartient pas, ne maintenez pas d’accès, respectez les limites de débit, et gardez le constat confidentiel jusqu’à sa correction.

Nos engagements. Accusé de réception sous 3 jours ouvrés, première évaluation (recevabilité, gravité CVSS) sous 10 jours ouvrés. Correction visée sous 30 jours pour une faille critique ou élevée, 90 jours pour les autres. Publication coordonnée avec vous, à défaut 90 jours après le signalement, clients concernés prévenus avant. Remerciements publics si vous le souhaitez ; pas de récompense financière pour l’instant.

Recherche de bonne foi. Nous n’engageons pas de poursuites contre une recherche qui respecte ces règles ; si un tiers le faisait, nous ferions savoir qu’elle était autorisée.