Sécurité et sous-traitants
Ce qu’un RSSI ou un acheteur doit pouvoir vérifier avant de nous confier son inventaire : où tournent nos serveurs, qui d’autre voit passer vos données, ce qui protège la plateforme, et à qui écrire si vous y trouvez une faille.
Trust center
Registre des sous-traitants avec abonnement aux changements, accord de traitement (DPA) téléchargeable et état du service en direct : ouvrir le trust center · page de statut.
Hébergement et localisation
L’application, ses données et notre serveur de messagerie fonctionnent sur des serveurs d’OVHcloud (OVH SAS), société française, dans des centres de données situés en France.
Le site et l’application sont servis au travers de Cloudflare, qui fait office de proxy inverse : diffusion des pages, protection contre les attaques par déni de service et filtrage du trafic malveillant. Comme tout proxy inverse, Cloudflare voit passer les adresses IP, les en-têtes et le contenu des requêtes. Cloudflare, Inc. est une société américaine dont le réseau est mondial : nous traitons donc ce flux comme un transfert hors de l’Union européenne, encadré par les garanties indiquées ci-dessous.
Nos sous-traitants
Voici la liste complète des prestataires qui traitent des données personnelles pour notre compte. Elle figure aussi dans notre politique de confidentialité.
| Sous-traitant | Rôle | Données concernées | Pays | Garanties de transfert |
|---|---|---|---|---|
| OVHcloud (OVH SAS) | Hébergement des serveurs, de la base de données et du serveur de messagerie | Toutes les données du service : comptes, inventaires, alertes, dossiers, journaux, e-mails envoyés | France | Sans objet : hébergement en France |
| Cloudflare, Inc. | Proxy inverse, diffusion des pages (CDN) et protection contre les attaques, devant le site et l’application | Adresses IP, en-têtes et contenu des requêtes qui transitent | États-Unis | Certification au cadre de protection des données UE–États-Unis (Data Privacy Framework) et clauses contractuelles types de la Commission européenne |
| PostHog, Inc. | Mesure d’audience du site et de l’application | Pages vues, clics, informations techniques du navigateur, adresse IP. Avec votre accord seulement : un identifiant persistant, l’enregistrement de session (saisies masquées) et, dans l’application, l’identifiant, l’e-mail, le nom, le rôle, la langue et l’offre de votre compte | Société américaine ; données hébergées dans l’UE (Francfort) | Accord de traitement (DPA) et clauses contractuelles types |
| Mistral AI | Assistant « Vigie » et fonctions d’IA | Les messages adressés à l’assistant et le contexte technique utile à la réponse (composants, alertes, CVE, fins de vie) ; pour la remédiation assistée du parc, les données techniques des machines concernées et la sortie des commandes de vérification que vous avez confirmées, sans nom de machine, adresse ni utilisateur ; uniquement lorsque vous utilisez ces fonctions | France ; hébergement dans l’UE | Sans objet : traitement dans l’Union européenne |
| Paddle (Paddle.com Market Limited) | Revendeur officiel (Merchant of Record) : paiement, facturation et taxes des abonnements | Nom, e-mail, adresse de facturation, numéro de TVA, moyen de paiement (saisi chez Paddle, jamais chez nous) | Royaume-Uni | Décision d’adéquation de la Commission européenne pour le Royaume-Uni, ou clauses contractuelles types |
Les e-mails (alertes, résumés, messages de service) partent de notre propre serveur de messagerie, hébergé chez OVHcloud : aucun prestataire d’envoi n’intervient. Ils sont signés DKIM, et notre domaine publie des enregistrements SPF et DMARC.
Les notifications que vous configurez vers vos propres outils (Slack, Microsoft Teams, webhooks) partent vers les destinations que vous choisissez : ces services sont les vôtres, pas nos sous-traitants.
Nous n’utilisons pas vos données pour entraîner un modèle. Selon les conditions de Mistral AI, les données transmises à son API payante ne servent pas non plus à entraîner ses modèles ; elles sont conservées 30 jours pour la détection des abus.
Les mesures en place
Cette liste ne contient que des mesures qui fonctionnent aujourd’hui. Ce qui n’y figure pas, nous ne le revendiquons pas.
Comptes et authentification
- Mots de passe hachés avec un algorithme conçu pour résister aux attaques par force brute, jamais stockés en clair.
- Double authentification par code temporaire (TOTP, RFC 6238), proposée sur tous les comptes, avec des codes de récupération à usage unique. L’activer ferme les autres sessions ouvertes.
- Authentification unique (SSO) OpenID Connect sur les offres Team et Enterprise, avec vérification des domaines de l’organisation.
- Authentification unique SAML 2.0 et provisionnement SCIM 2.0 sur l’offre Enterprise : assertions signées vérifiées, à usage unique, acceptées pour les seuls domaines vérifiés ; un compte désactivé dans l’annuaire perd aussitôt l’accès à l’organisation.
- Sessions de courte durée, renouvelées par des jetons à usage unique et transportées dans des cookies protégés, illisibles par les scripts de la page.
- Changer ou réinitialiser son mot de passe ferme toutes les sessions du compte.
- Nombre de tentatives limité sur l’inscription, la connexion, la double authentification et la demande de réinitialisation du mot de passe, avec alerte à notre équipe en cas de dépassement.
Application et API
- Sur l’application : politique de sécurité du contenu (CSP) stricte ; affichage dans un cadre tiers interdit ; en-têtes HSTS, X-Content-Type-Options, Referrer-Policy et Permissions-Policy.
- Sur le site : en-têtes X-Frame-Options, X-Content-Type-Options et Referrer-Policy.
- Clés d’API jamais conservées en clair, révocables, et limitables à certaines familles de données.
- Secrets de connexion SSO chiffrés au repos.
- Machines des réseaux isolés (mode hors ligne de l’agent) : la machine ne se connecte jamais à la plateforme ; chaque collecte est chiffrée pour la clé de votre organisation, signée par l’agent et numérotée, et une collecte modifiée, rejouée ou destinée à une autre organisation est refusée. Aucune action à distance n’est envoyée à ces machines.
Infrastructure
- Les composants internes de la plateforme ne sont pas joignables depuis Internet : seul le serveur web frontal est exposé, et l’API n’est accessible qu’au travers de lui.
- Les services de la plateforme sont cloisonnés entre eux. Ceux de l’application et du site tournent sans privilèges d’administration et sans élévation de privilèges possible ; celui de l’application, sur un système de fichiers en lecture seule.
Traçabilité
- Journal d’audit des actions sensibles : connexions, changements de mot de passe, groupes et droits, configuration du SSO, modifications de l’inventaire, actions d’administration. Conservation de 30 jours (Free), 90 jours (Pro), 1 an (Team) ou 5 ans (Enterprise) ; consultation par les administrateurs de l’organisation sur les offres Team et Enterprise.
- Envoi des événements de sécurité, et du journal d’audit si vous le choisissez, vers votre SIEM (syslog sur TLS, Splunk, Microsoft Sentinel, Elastic) sur les offres Team et Enterprise, par une connexion chiffrée dont le certificat est vérifié.
Chaîne logicielle
- Nous produisons une nomenclature logicielle (SBOM) au format CycloneDX à partir des images réellement déployées : paquets système, bibliothèques et dépendances, avec leurs versions exactes. Vous pouvez nous la demander pour votre évaluation fournisseur.
Signaler une vulnérabilité
Vous pensez avoir trouvé une faille dans TechWatchAlert ? Écrivez à [email protected]. Cette adresse est aussi publiée au format standard security.txt (RFC 9116), sur le site comme sur l’application.
Périmètre
- Dans le périmètre : le site techwatchalert.com, l’application et son API sur app.techwatchalert.com.
- Hors périmètre : les services de nos sous-traitants (signalez-les à l’éditeur concerné), les attaques par déni de service, l’ingénierie sociale et les rapports d’outils automatiques sans démonstration d’impact.
Règles de test
- Testez avec vos propres comptes. N’accédez pas aux données d’autres utilisateurs, ne les modifiez pas et ne conservez que ce qu’exige la démonstration.
- Les tests automatisés ou intrusifs (scans, fuzzing, injection) sur notre infrastructure demandent une autorisation écrite préalable, comme le prévoit l’article 12.3 des CGU : écrivez-nous avant de les lancer.
- Laissez-nous le temps de corriger avant toute publication, et convenons ensemble de la date.
Ce qu’un rapport utile contient
- la page, l’adresse ou le point d’entrée d’API concerné ;
- les étapes pour reproduire, avec les requêtes et les réponses utiles ;
- l’impact que vous avez pu démontrer ;
- le moyen de vous recontacter.
Ce que nous nous engageons à faire
Nous accusons réception de chaque signalement, nous vous tenons informé de son traitement jusqu’à la correction et nous convenons avec vous de la date de publication. Nous n’engageons pas de poursuites contre une personne qui a agi de bonne foi et dans le respect de ces règles, comme le prévoit l’article 12.2 des CGU.
TechWatchAlert dans votre évaluation NIS2
Si votre organisation est soumise à la directive NIS2, TechWatchAlert fait partie de vos fournisseurs : l’article 21.2.d vous demande de tenir compte de la sécurité de votre chaîne d’approvisionnement. Cette page rassemble ce qu’une telle évaluation demande d’ordinaire à un fournisseur. Pour un questionnaire ou un accord de traitement (DPA), écrivez-nous.
TechWatchAlert outille aussi une partie de vos propres obligations : veille incluant le CERT-FR et l’EUVD, registre des risques acceptés, délais de correction, fournisseurs, incidents. Ce que couvre l’offre, et ce qu’elle ne couvre pas.
Questions fréquentes
Mes données quittent-elles l’Union européenne ?
Les données du service sont hébergées en France, chez OVHcloud. Trois sous-traitants sont établis hors de l’Union européenne : Cloudflare, qui voit passer le trafic web, et PostHog, qui mesure l’audience, sont américains ; Paddle, qui gère la facturation, est britannique. Chacun de ces transferts est encadré par une garantie prévue par le RGPD, indiquée dans le tableau des sous-traitants.
Utilisez-vous mes données pour entraîner une IA ?
Non. Quand vous utilisez l’assistant Vigie, votre question et le contexte technique utile partent vers l’API payante de Mistral AI, hébergée dans l’Union européenne. Selon les conditions de Mistral AI, ces données ne servent pas à entraîner ses modèles et sont conservées 30 jours pour la détection des abus.
La mesure d’audience attend-elle votre accord ?
En partie. Sans votre accord, PostHog mesure la fréquentation sans cookie ni stockage dans votre navigateur, sans enregistrement de session et sans rattachement à votre compte. Avec votre accord, il dépose des cookies, enregistre les sessions en masquant les champs saisis et, dans l’application, rattache les événements à votre compte.
Peut-on signer un accord de traitement (DPA) ?
Oui. Notre accord de traitement standard est téléchargeable sur le centre de confiance, pour toutes les offres ; avec l’offre Enterprise, il peut être négocié à partir de votre modèle.
Comment signaler une vulnérabilité ?
Écrivez à [email protected], en suivant la section « Signaler une vulnérabilité » de cette page : périmètre, règles de test et contenu d’un rapport utile.