Sécurité et vos fichiers

Nous ne vendons pas vos données personnelles, nous n’affichons pas de publicités ciblées et nous n’utilisons ni cookies publicitaires ni cookies de suivi tiers. La politique de sécurité du contenu (Content Security Policy) du site n’autorise nos pages à se connecter qu’à notre propre domaine (connect-src 'self').

Vous n’avez pas besoin de compte pour utiliser les outils. Nos statistiques sont les nôtres : nous ne stockons jamais votre adresse IP brute, nous la transformons en jeton haché à l’aide d’un secret qui change chaque jour. Les journaux des outils ne contiennent jamais le nom ni le contenu de vos fichiers, seulement l’outil, l’endroit où il a tourné, s’il a fonctionné, sa durée et une tranche de taille approximative.

Le fichier est lu et traité dans votre navigateur, et vous téléchargez le résultat depuis le navigateur lui-même. Le fichier n’est envoyé à aucun serveur. C’est le cas de la plupart des outils PDF et image, comme fusionner, diviser, faire pivoter, signer votre propre fichier ou compresser des images.

Certains outils ont besoin de logiciels qui fonctionnent mal dans un navigateur, comme les conversions Office et l’OCR. Dans ce cas, votre fichier est envoyé via une connexion chiffrée à notre service de conversion, qui le traite puis l’efface dès que votre résultat est envoyé.

Résumer un PDF, Traduire un PDF et Interroger votre PDF extraient le texte de votre fichier et envoient ce texte, et non le fichier, à Anthropic via une connexion chiffrée. Les détails figurent dans la section IA. Nous vous recommandons de ne pas utiliser ces outils pour des documents très sensibles.

Lorsque vous demandez à d’autres personnes de signer un document, nous le conservons jusqu’à ce que tout le monde ait signé : le document, les noms et adresses e-mail des signataires, et une piste d’audit de chaque étape. Cette fonctionnalité est réservée aux titulaires d’un compte. La durée de conservation est indiquée dans Conservation et suppression.

Il n’existe pas de « certificat RGPD » officiel, et nous n’en revendiquons aucun. Nous appliquons en revanche ses principes : nous collectons aussi peu de données que possible, nous fixons une durée limite à tout ce que nous conservons et nous expliquons où chaque fichier est traité. Vos droits comprennent notamment :

• Effacement : supprimez vous-même votre compte depuis la page « Mon compte ».
• Rectification : modifiez votre nom et votre langue sur la page « Mon compte » ; pour tout le reste, écrivez-nous.
• Accès et portabilité : demandez une copie des données de votre compte à [email protected].

Nous appliquons des pratiques issues des recommandations de l’OWASP sur la sécurité des applications web, notamment :

• Politique de sécurité du contenu (CSP) : les scripts et les connexions sont limités à notre domaine, et le site ne peut pas être intégré dans d’autres sites.
• Protection contre les SSRF : HTML en PDF et Page web en image n’acceptent que des liens http et https publics, et nous vérifions l’adresse IP à chaque connexion et à chaque redirection, afin qu’aucune requête ne puisse atteindre notre réseau interne.
• Rendu isolé : le navigateur qui effectue le rendu des pages web n’a pas d’accès direct à internet ; chacune de ses requêtes passe par cette même vérification, et les scripts sont désactivés par défaut dans les fichiers HTML envoyés. Les macros des fichiers Office ne s’exécutent jamais, et chaque conversion tourne dans son propre processus, avec une limite de temps et un plafond sur ce qu’elle peut écrire.

L’Irak dispose de la loi sur la signature électronique et les transactions électroniques n° 78 de 2012. Les signatures dans Safha sont des signatures électroniques simples : nous conservons une piste d’audit avec l’heure de chaque étape, ainsi qu’une empreinte SHA-256 du document original et du document final. Ce ne sont pas des signatures certifiées par une autorité de certification, et nous ne donnons pas d’avis juridique sur leur validité. Si votre document nécessite une signature ayant une valeur juridique particulière, consultez un professionnel du droit.

• ISO/IEC 27001 : mise en place d’un système de management de la sécurité de l’information conforme à cette norme, en vue d’une évaluation indépendante.
• Un test d’intrusion indépendant réalisé par une société externe.
• L’authentification à deux facteurs pour les comptes administrateurs.
• Le chiffrement au repos des fichiers des demandes de signature.

Safha fonctionne sur un serveur loué auprès de Contabo GmbH, dont la plage d’adresses est enregistrée en Allemagne selon le registre du RIPE NCC. Chaque service tourne dans son propre conteneur Docker géré avec Coolify : l’application du site, le service de conversion et une base de données PostgreSQL.

Le trafic du site passe par le réseau de Cloudflare, dont le service inclut une protection automatique contre les attaques par déni de service distribué (DDoS). À l’intérieur du serveur, la base de données se trouve sur un réseau interne coupé d’internet, et le service de conversion n’accepte aucune connexion venant de l’extérieur : seule l’application du site peut l’atteindre, avec un jeton secret partagé.

• L’ensemble du site fonctionne en HTTPS, et les requêtes HTTP sont redirigées vers HTTPS.
• Les connexions prennent en charge TLS 1.3.
• Nous envoyons un en-tête HSTS valable deux ans (max-age=63072000; includeSubDomains), de sorte que votre navigateur n’ouvre le site que via une connexion chiffrée.
• La connexion entre Cloudflare et notre serveur est elle aussi chiffrée, avec un certificat TLS valide.

Nous conservons peu de choses sur le serveur : les comptes, les flux de travail, les CV enregistrés et les statistiques dans la base de données, et les fichiers des demandes de signature sur le disque du serveur. Les mots de passe et les jetons des liens de signature ne sont stockés que sous forme de hachages (bcrypt et SHA-256). Soyons clairs : aujourd’hui, nous ne chiffrons au repos ni la base de données ni les fichiers des demandes de signature avec une clé qui nous est propre ; ils sont protégés par l’isolement réseau et les permissions du serveur.

Safha ne compte que deux rôles : membre et administrateur. Le tableau de bord d’administration ne s’ouvre que pour un compte ayant le rôle d’administrateur, et nous vérifions ce rôle sur le serveur à deux reprises : à l’accès au tableau de bord, puis sur chaque page et chaque action à l’intérieur. Modifier le rôle d’un compte ou le suspendre met fin immédiatement à ses sessions.

• Le service de conversion tourne sous un utilisateur non root, sur un système de fichiers en lecture seule, et n’écrit que dans un dossier temporaire en mémoire.
• Il lit ses secrets une seule fois au démarrage, puis abandonne les privilèges root ; ces secrets n’atteignent jamais les processus de conversion.
• La clé Anthropic se trouve uniquement dans le service de conversion ; elle n’atteint jamais l’application du site ni le navigateur.
• Le mot de passe de la base de données et la clé de signature des sessions sont générés par la plateforme de déploiement ; personne ne les saisit à la main.

Nous ne proposons pas aujourd’hui d’authentification à deux facteurs pour les comptes administrateurs, et nous ne prétendrons pas le contraire. En attendant de l’ajouter, le premier mot de passe administrateur est généré aléatoirement par la plateforme de déploiement, et les tentatives de connexion sont limitées comme pour tous les comptes.

Les actions qui atteignent les appareils des utilisateurs, comme l’envoi de notifications et la publication de versions de l’application, sont journalisées avec l’identité de l’administrateur et l’heure.