La présente politique décrit les mesures techniques et organisationnelles mises en œuvre par Stealed en application de l'article 32 du règlement (UE) 2016/679. Elle est opposable et fait partie intégrante de l'ensemble contractuel.
Chaque mesure est qualifiée « en production » ou « en cours de déploiement ». Aucune mesure en cours de déploiement ne peut être présentée comme acquise, dans quelque document que ce soit, avant sa mise en production effective. Cette règle vaut pour nos propres supports commerciaux.
| Domaine | Mesure | État |
|---|---|---|
| Chiffrement | Chiffrement en transit (TLS 1.2 au minimum), chiffrement du stockage au repos et chiffrement des sauvegardes | En production |
| Chiffrement | Séparation des clés et des données, rotation périodique, conservation en gestionnaire de secrets, à l’exclusion de tout stockage en clair | En production |
| Accès | Authentification multifacteur obligatoire pour tout accès d'administration | En production |
| Accès | Moindre privilège, contrôle d’accès par rôle, revue des habilitations au moins semestrielle | En production |
| Traçabilité | Journalisation durable des décisions, sans purge ni cascade, avec identification de l'auteur, de son adresse et de son horodatage | En production |
| Traçabilité | Journalisation des consultations, avec une rétention indexée sur la sensibilité de la donnée consultée | En production |
| Architecture | Cloisonnement multi-locataire strict, sans circulation de données entre organisations | En production |
| Architecture | Segmentation réseau, filtrage, supervision et alerte sur événements de sécurité | En production |
| Architecture | Modèle de restitution par diffusion : aucun accès au corpus, aucune recherche libre, aucune requête sur un périmètre non mandaté | En production |
| Continuité | Sauvegardes chiffrées, conservées en France, testées périodiquement, procédure de restauration documentée | En production |
Le mot de passe est masqué par défaut, dans l'interface comme dans l'interface de programmation : premier et dernier caractère, plus la longueur réelle. En deçà de six caractères, la valeur est intégralement masquée, montrer les extrémités d'un mot de passe de quatre caractères en livrant la moitié. Ce masquage publie la longueur : il accompagne les conditions ci-dessous, il ne les remplace pas et ne doit pas être présenté comme une protection forte.
La lecture en clair existe, et pour une seule raison : une organisation victime ne peut prioriser sa remédiation qu'en sachant si un identifiant est réellement le sien et s'il est encore en vigueur. Le masquage total conduit en pratique à traiter toutes les lignes de la même manière, donc à n'en traiter aucune. Elle suppose trois conditions cumulatives, vérifiées à chaque lecture.
| Condition | Contenu |
|---|---|
| 1. Domaine ouvert | Par preuve DNS, ou par octroi de Stealed sur demande motivée pour le titulaire qui ne peut pas publier d'enregistrement. Un prestataire ne peut jamais ouvrir un domaine lui-même : son attestation suffit à mettre sous surveillance, jamais à lire les mots de passe. |
| 2. Autorisation du client | Lorsque la lecture traverse la frontière d'une organisation. Réglage « Gestion déléguée » dans l'espace du client, désactivé par défaut, nommant explicitement le prestataire, modifiable par un administrateur du client seul, révocable à tout instant avec effet immédiat. |
| 3. Appelant administrateur | Des deux côtés. Le consentement est donné à l'organisation, et l'organisation décide qui en son sein peut s'en servir. |
Par l'interface de programmation, la lecture en clair suppose en outre une clé portant un droit dédié et un paramètre explicite sur l'appel. Chaque lecture est journalisée, avec le nombre de lignes révélées, les domaines qui l'ont autorisée et la voie qui a ouvert la porte. Un identifiant non couvert renvoie « introuvable » et non « interdit », répondre « interdit » confirmerait son existence à qui sonderait la base. En cas d'indisponibilité de la base des domaines, tout est masqué : une panne n'ouvre jamais rien.
Deux exigences distinctes et cumulatives encadrent l'accès au périmètre d'une organisation. La propriété répond à « ce domaine est-il bien celui de cette organisation » et se prouve techniquement. Le mandat répond à « ce prestataire a-t-il l'instruction d'agir dessus » et se prouve juridiquement. Aucune ne remplace l'autre.
| Statut | Ce qu'il signifie | Surveillance | Lecture en clair |
|---|---|---|---|
| En attente | Le domaine a été ajouté, rien n'est prouvé | Non | Non |
| Validé | Propriété acceptée sans preuve DNS, sur attestation d'un partenaire ou par décision de Stealed | Oui | Non |
| Vérifié | Propriété prouvée par un enregistrement TXT publié dans la zone DNS | Oui | Oui |
La distinction entre validé et vérifié est délibérée : accepter une attestation pour mettre un domaine sous surveillance est un risque borné, l'accepter pour livrer des mots de passe ne l'est pas.
La voie normale est la preuve DNS. Lorsque cette publication n'est pas possible, pour quelque raison que ce soit, DNS géré par un tiers, délai informatique ou contrainte interne, le domaine peut être validé par Stealed après que nous nous soyons assurés de son rattachement à l'organisation. Cette voie met le domaine sous surveillance ; elle n'ouvre pas la lecture d'un mot de passe en clair, qui relève de sa propre décision.
Une distinction structure cette section. Un stock global porte sur l'ensemble du corpus et doit se justifier par lui-même. Un stock client est borné à un périmètre établi et se justifie par la relation. Les durées précises applicables à chaque catégorie sont documentées et communiquées aux clients et partenaires dans le cadre contractuel.
| Catégorie | Durée |
|---|---|
| Archive d’origine téléchargée | Supprimée immédiatement après analyse. Ce qui subsiste est un extrait normalisé, jamais le fichier publié |
| Tables d’ingestion et de routage (portée globale) | Durées de vie courtes, purge automatique sans intervention |
| Registre des identifiants (portée globale) | Sans limite de durée à ce jour. Un plan de rétention est établi, décrit ci-dessous |
| Extraits normalisés sur stockage objet (portée globale) | Sans limite de durée à ce jour. Nécessaires à aucune fonction du produit |
| Périmètre d'une organisation surveillée (portée client) | Tant que le domaine est surveillé. Suppression automatique et immédiate au retrait du domaine ou à la fin de la relation |
| Journaux de décisions | Conservés de manière durable, sans purge |
| Journaux de consultations | Rétention indexée sur la sensibilité de la donnée consultée |
| Statistiques agrégées ne comportant aucun identifiant | Conservation durable |
Toute suppression s'effectue par écrasement ou destruction du support, à l'exclusion d'une simple suppression logique, avec confirmation écrite lorsque l'ensemble contractuel l'exige.
La suppression du périmètre d'un client est structurelle, adossée au mécanisme de routage lui-même. Elle ne dépend d'aucune tâche à déclencher, d'aucun délai et d'aucun engagement déclaratif.
Un plan de rétention est établi sur les stocks globaux, afin de remplacer l'absence de limite par une durée déterminée sur le secret conservé en clair, l'identifiant et le domaine restant nécessaires à la détection. La durée sera établie par la mesure et non fixée arbitrairement, en croisant la date de collecte d'un identifiant avec la date du dernier changement de mot de passe du compte concerné, sans qu'aucun mot de passe soit jamais testé. Ce plan n'est pas encore exécuté, et cette page sera mise à jour lorsqu'il le sera.
Stealed ne fait à ce jour l'objet d'aucune certification SOC 2 ni ISO/CEI 27001 et ne se prévaut d'aucune de ces qualifications. Le référentiel de durcissement en reprend les critères, ce qui n'est pas une certification.
Les données de fuite sont hébergées et traitées en France, chez Scaleway SAS, dans la région de Paris (fr-par), et leurs sauvegardes chiffrées y sont également conservées. Aucun tiers n'y accède, et aucune donnée de fuite ne quitte le territoire français.
Des prestataires techniques interviennent pour des fonctions périphériques et ne traitent jamais de données de fuite, mais uniquement des données de compte et de contact. Leur liste à jour, leur localisation et leur encadrement figurent sur la page Sous-traitants. Lorsqu'un tel prestataire est établi hors de l'Union européenne, le traitement des données de compte et de contact qu'il opère relève du droit de l'État de son établissement, ce que la présente politique énonce sans réserve.
Pour tout export ou donnée sortie de la Plateforme, le client met en œuvre au minimum :
Chaque partie notifie à l'autre, sans délai et au plus tard dans les quarante-huit heures de sa connaissance, tout incident de sécurité affectant les données concernées, en précisant sa nature, son étendue estimée, les catégories de données et de personnes touchées et les mesures prises ou envisagées. Ce délai est réduit pour les entités financières au sens du règlement (UE) 2022/2554 (DORA) et pour les entités importantes ou essentielles au sens de la directive (UE) 2022/2555 (NIS 2), dans les conditions des addenda correspondants.
Toute personne peut signaler une vulnérabilité affectant la Plateforme ou les services de Stealed à l'adresse [email protected]. Stealed accuse réception dans les trois jours ouvrés, instruit l'analyse, tient le déclarant informé des suites et publie, le cas échéant, un avis de sécurité après correction.
Stealed s'engage à n'exercer aucune action civile ou pénale à l'encontre du déclarant de bonne foi qui s'est abstenu d'accéder aux données au-delà de ce qui est nécessaire à la démonstration, de porter atteinte à la disponibilité du service, d'exiger une contrepartie et de rendre la vulnérabilité publique avant sa correction. Le signalement à l'autorité nationale prévu à l'article L. 2321-4 du code de la défense demeure ouvert au déclarant.
Stealed corrige la vulnérabilité dans un délai proportionné à sa criticité. Le déclarant recouvre sa liberté de publication à l'expiration d'un délai de quatre-vingt-dix jours à compter de son signalement, ou avant ce terme si Stealed lui confirme la correction.