Conçu pour protéger vos données
La sécurité n'est pas une réflexion après coup chez Aideworks. Voici comment nous protégeons votre compte, les données de vos clients et le pipeline de surveillance.
Infrastructure exclusivement UE
Toutes les données sont traitées et stockées sur des serveurs au sein de l'Union européenne. Aucune donnée n'est transférée aux États-Unis ou dans d'autres pays tiers. Cela satisfait aux exigences de résidence des données RGPD sans configuration ni contournement.
Sécurité du compte
MFA obligatoire pour tous les comptes
Chaque compte basé sur un mot de passe doit enregistrer une application d'authentification TOTP (Google Authenticator, Authy, 1Password, etc.) avant d'accéder au tableau de bord. Cela est appliqué au niveau de la passerelle API — pas seulement dans l'interface utilisateur — et ne peut donc pas être contourné.
Cookies HttpOnly Secure
Votre jeton de session est stocké dans un cookie httpOnly, Secure, SameSite — jamais dans localStorage ou dans un stockage accessible par JavaScript. Les scripts ne peuvent pas le lire ou le voler.
Rotation des jetons de rafraîchissement avec détection de vol
Chaque renouvellement de session émet un nouveau jeton et invalide l'ancien. Si un jeton volé est réutilisé, toute la famille de sessions est immédiatement révoquée — vous protégeant même si un appareil est compromis.
Signature JWT asymétrique RS256
Les jetons sont signés avec une clé privée et vérifiés avec une clé publique séparée. Il n'y a pas de secret partagé qui pourrait être divulgué entre les services.
Récupération de compte ancrée au téléphone
Les réinitialisations de mot de passe et d'authentificateur nécessitent la confirmation des quatre derniers chiffres de votre numéro de téléphone enregistré. Aucun SMS n'est envoyé — votre numéro de téléphone est une ancre de récupération, pas un second facteur d'authentification.
Limitation du débit et protection contre les attaques par force brute
Les points d'accès de connexion, d'inscription et de réinitialisation de mot de passe sont limités en débit par IP. Cinq codes MFA incorrects consécutifs déclenchent un verrouillage de 15 minutes. Nous enregistrons tous les événements d'authentification avec IP et agent utilisateur.
Protection des données
Stockage chiffré des identifiants
Tous les mots de passe sont hachés avec bcrypt (facteur de coût 12). Les secrets des applications d'authentification TOTP sont chiffrés avec AES-256-GCM avant le stockage. Seul le hachage de chaque code de sauvegarde est jamais stocké.
Requêtes paramétrées uniquement
Chaque requête de base de données utilise des valeurs paramétrées. Il n'y a pas de concaténation de chaînes dans SQL — l'injection SQL est structurellement empêchée, pas seulement protégée.
Anonymisation automatique des IP
Les adresses IP dans le journal d'audit sont anonymisées après 90 jours. Les instantanés DNS et SSL sont supprimés après 24 mois. Nous collectons ce dont nous avons besoin et supprimons ce dont nous n'avons pas besoin.
Divulgation responsable
Si vous découvrez une vulnérabilité de sécurité dans Aideworks, veuillez la signaler de manière responsable à security@aideworks.com. Nous accuserons réception de votre rapport dans les 48 heures et vous tiendrons informé de l'avancement de la correction. Nous n'engageons pas de poursuites judiciaires contre les chercheurs agissant de bonne foi.