Sécurité

Architecture

UptimeGlobe fonctionne sur une plateforme serverless entièrement gérée, exploitée par un fournisseur d’infrastructure de premier rang. Nous n’avons aucun serveur permanent, aucun accès SSH dont il faudrait renouveler les clés, et aucun système d’exploitation à corriger — une grande catégorie de vulnérabilités ne fait tout simplement pas partie de notre surface. Tout le trafic, côté utilisateurs comme en interne, transite par TLS.

Votre compte

• Les mots de passe sont hachés avec PBKDF2-SHA256 (100 000 itérations, sel propre à chaque utilisateur). Nous ne stockons ni ne journalisons jamais un mot de passe en clair, et les réponses de connexion sont conçues pour que l’existence d’un compte ne puisse pas être sondée par la mesure du temps de réponse.
• L’authentification à deux facteurs (TOTP) est disponible pour tous les comptes, offre gratuite comprise.
• Les sessions utilisent un jeton de courte durée (15 minutes) ainsi qu’un jeton de rafraîchissement à usage unique, renouvelé à chaque utilisation. La réutilisation d’un jeton de rafraîchissement déjà renouvelé — la signature d’une session volée — révoque toutes les sessions du compte. Les changements et réinitialisations de mot de passe font de même.
• Protection anti-robots : l’inscription et la connexion sont filtrées contre les abus automatisés, sans CAPTCHA à résoudre.

Vos identifiants et vos données

• Les identifiants de notification — jetons Slack, URL de webhook, clés de fournisseur SMS — sont chiffrés au repos en AES-256-GCM avec une clé conservée hors de la base de données. L’API les renvoie masqués, et les messages d’erreur sont nettoyés pour qu’une intégration défaillante ne puisse pas divulguer son propre secret.
• L’isolation entre clients est appliquée dans la couche d’accès aux données elle-même : chaque requête portant sur des données appartenant à un client est automatiquement limitée à votre organisation, et nos linters refusent tout code qui contourne cette passerelle. Ce n’est pas laissé à la mémoire de chaque point de terminaison.
• Les clés d’API ont une portée définie par ressource et par action (lecture/écriture), sont affichées une seule fois à leur création, stockées sous forme hachée et révocables à tout moment.
• Données de paiement : les informations de carte ne transitent jamais par nos systèmes. Lorsque la facturation payante est active, le paiement et le stockage des cartes sont gérés par un prestataire de paiement dédié.

Droits sur les données

Vous pouvez exporter vos données et supprimer votre compte — la suppression est un véritable effacement définitif des données de votre organisation, pas un simple marqueur. Détails dans la politique de confidentialité.

Statut de conformité

UptimeGlobe ne détient pas encore de certification SOC 2 ou ISO 27001 — nous sommes un produit jeune, dirigé par son fondateur, et nous ne prétendrons pas le contraire. Cette page décrit les contrôles réellement en place aujourd’hui ; elle est mise à jour à mesure que notre dispositif évolue.

Signaler une vulnérabilité

Vous avez trouvé quelque chose ? Utilisez le formulaire de contact : choisissez le thème Autre chose et commencez votre message par « SECURITY ». Indiquez les étapes pour reproduire le problème et l’impact que vous lui attribuez. Nous accuserons réception sous 2 jours ouvrés, vous tiendrons informé pendant la correction, et vous citerons si vous le souhaitez. Merci de ne pas accéder aux données d’autres utilisateurs pendant vos tests — une preuve de concept sur votre propre compte suffit toujours.