Les réponses aux questionnaires, avant qu’on vous les pose

Cette page rassemble ce qu’un responsable sécurité ou un service achats demande avant de signer. Chaque point renvoie à la page de documentation qui le détaille. Nous ne revendiquons aucune certification que nous n’avons pas.

Hébergement et isolation

Une instance par client, sur un serveur dédié en France ; rien n’est mutualisé.

Lieu: Serveur Elastic Metal de Scaleway, zone fr-par-2, Paris. Sauvegardes dans un espace de stockage objet Scaleway à Paris, un espace par client.
Isolation: Base de données, graphe, bus de messages et services propres à chaque instance. Aucune donnée d’un client n’est lisible depuis l’instance d’un autre.
Exposition: Un seul service exposé : le serveur web, avec certificat Let’s Encrypt, HSTS et interdiction d’affichage dans un cadre. Les autres services ne répondent que sur le réseau interne de l’instance.
Sous-traitant: Scaleway SAS, société de droit français, pour l’hébergement, les sauvegardes, les courriels transactionnels et les modèles de langue des assistants. Aucun autre.

Vos données

Ce qui est conservé, comment, combien de temps.

Identifiants cloud: Chiffrés en AES-256-GCM avec une clé propre à l’instance avant d’être écrits en base ; les ordres de scan qui les transportent sont scellés avec une seconde clé. La clé n’est jamais incluse dans les sauvegardes.
Données sensibles trouvées: Seuls des extraits masqués sont conservés avec le constat ; le contenu lu n’est jamais stocké. Les bases sont lues sur une copie temporaire dans votre compte, détruite ensuite.
Rétention: Constats fermés purgés après quatre-vingt-dix jours par défaut, réglable entre sept jours et dix ans. Journal d’audit conservé un an. Sauvegardes quotidiennes conservées trente jours.
Réversibilité: À la fin du contrat, l’instance et ses sauvegardes sont détruites ; les constats peuvent être exportés avant depuis l’application.

Accès à vos comptes

Par les API du cloud, sans agent ; droits publiés cloud par cloud.

Droits demandés: Des droits de lecture pour l’inventaire et la configuration : rôle CloudFormation avec ExternalId pour AWS, service principal pour Azure, compte de service ou fédération d’identité pour Google Cloud, clé API pour Scaleway, consumer key pour OVHcloud, utilisateur EIM pour OUTSCALE.
Droits de copie: L’analyse des hôtes, des vulnérabilités sur disque et des bases de données crée des instantanés, des instances éphémères et des copies dans votre compte : ces droits d’écriture sont demandés à part, et vous décidez de les accorder. Sans eux, ces scanners ne tournent pas et le disent.
Kubernetes: Lecture par l’API du cluster avec un groupe dédié ; les droits exacts sont dans le guide de connexion.
Journal d’audit: Chaque action d’un utilisateur dans l’application est journalisée avec son auteur, consultable dans les réglages et conservée un an.

Accès à l’application

Authentification, rôles, périmètres.

Connexion: SAML et OIDC avec correspondance des groupes vers les rôles. Pour les comptes locaux, mot de passe de douze caractères au moins puis code reçu par courriel.
Rôles et projets: Rôles par utilisateur, périmètre restreint à des projets, comptes cloud et dépôts regroupés en dossiers.
Assistants: Quatre assistants qui lisent les données de l’instance et n’appliquent rien sans décision humaine. Modèles Mistral servis par Scaleway ; périmètre imposé côté serveur ; garde contre les instructions cachées dans les données lues.
Sorties: Notifications, tickets et courriels ne partent que vers des canaux que vous avez configurés et pouvez couper.

Le détail, dans la documentation

Les pages ci-dessous décrivent le produit tel qu’il est livré, limites comprises.

Signaler une vulnérabilité

Écrivez à contact@ctadel.eu avec les étapes de reproduction. Nous accusons réception sous deux jours ouvrés et vous tenons informé de la correction. Le fichier security.txt du site reprend cette adresse.

contact@ctadel.eu

Une question que cette page ne couvre pas ?

Écrivez-nous, nous répondons précisément, limites comprises.

Nous écrire