Comment nous testons la sécurité

Le référentiel auquel iyedy se mesure, les tests qui tournent à chaque changement, et les certifications que nous n’avons pas encore.

Cette page s’adresse aux personnes qui décident si iyedy est assez sûr pour leur architecture : une équipe sécurité, un architecte qui choisit un outil, un acheteur avec un questionnaire. Elle dit ce que nous vérifions, à quel rythme, et ce que nous ne pouvons pas encore vous montrer.

Le référentiel

Nous évaluons iyedy selon l’OWASP Application Security Verification Standard (ASVS) 5.0, niveau 2, chapitre par chapitre : traitement des entrées, interface web, API, fichiers, authentification, sessions, autorisations, cryptographie, configuration, protection des données, journalisation. Chaque chapitre est noté satisfait, partiel ou manquant, avec les preuves correspondantes.

C’est une auto-évaluation : nous l’avons faite nous-mêmes. C’est un outil de travail, pas un certificat.

Ce qui tourne à chaque changement

Des tests automatiques tournent sur chaque changement proposé du service, parmi lesquels :

• L’accès entre clients. Les tests appellent chaque route du service avec l’espace de travail et le schéma d’un autre client, et attendent un refus.
• Les protections web. Les en-têtes de sécurité de chaque réponse : une politique de sécurité du contenu stricte, HTTPS seulement, des cookies que les scripts ne peuvent pas lire.
• Les limites de débit. Les appels répétés ralentissent puis s’arrêtent, pour la connexion comme pour l’API.
• La restauration. Une sauvegarde est restaurée et vérifiée, pour qu’une restauration marche le jour où on en a besoin.

Ce qui vous protège au quotidien

• Chaque connexion est chiffrée, et le contenu de vos schémas est chiffré avec une clé à vous (Vos données).
• La connexion ralentit après des échecs répétés, et les mots de passe comptent au moins 15 caractères (Sécuriser votre compte).
• L’Assistant ne lit rien au-dessus du plafond IA, et vous pouvez le couper (L’IA et vos schémas).

Ce que nous n’avons pas encore

Ni rapport SOC 2 ni certification ISO 27001 aujourd’hui. Les deux sont prévus, sans date pour l’instant.

Ce que cela change pour vous

• Une auto-évaluation est notre propre déclaration : pesez-la comme telle dans votre examen d’iyedy.
• La liste des prestataires qui traitent des données pour iyedy est envoyée sur demande : écrivez à contact@iyedy.com.
• Vous avez trouvé une faille ? Dites-le-nous d’abord : Signaler une vulnérabilité.