Politique de sécurité

Nous considérons la sécurité comme une exigence produit et décrivons uniquement les contrôles mis en œuvre ou requis opérationnellement par le service actuel.

• ›Les routes sensibles s’exécutent côté serveur dans l’application Next.js
• ›Les routes protégées dashboard et admin exigent une session authentifiée
• ›Les fonctions administratives sont limitées aux adresses e-mail configurées comme administrateurs

Les contrôles actuels du code incluent :

• ›Google OAuth avec NextAuth, sessions JWT et durée de session de 8 heures
• ›Revendications de session minimales ; les jetons OAuth ne sont pas exposés à la session navigateur
• ›Validation Zod pour les charges contact, dashboard, devis, statut et IA
• ›Limitation de débit via Upstash pour les routes publiques et authentifiées d’écriture
• ›Validation d’hôte, CSP, blocage des frames, protection du type de contenu, politique de référent et permissions policy
• ›APIs de requête Prisma plutôt que construction SQL ad hoc

Nous protégeons les données par contrôle d’accès, contrôles de sécurité des fournisseurs, transport chiffré et accès opérationnel restreint.

• ›Les identifiants de base de données de production sont stockés dans des variables d’environnement
• ›Les secrets SMTP, IA, Redis et OAuth restent côté serveur
• ›Les coordonnées bancaires publiques sont séparées des secrets et configurables par environnement

Le tableau de bord inclut une route de suppression de compte pour les utilisateurs connectés. Elle supprime les données de demandes de projet et de devis associées à l’adresse e-mail authentifiée.

• ›La suppression exige une session authentifiée active
• ›L’interface exige une confirmation saisie manuellement avant suppression
• ›Après suppression, l’utilisateur est déconnecté

Les comptes OAuth externes restent gérés par le fournisseur OAuth.

Si nous identifions une violation de données personnelles ou un incident de sécurité, nous enquêtons, contenons, documentons et notifions les parties ou autorités concernées lorsque la loi applicable l’exige.

• ›La notification à l’autorité RGPD est évaluée selon l’exigence de 72 heures le cas échéant
• ›La notification des utilisateurs dépend du risque, des exigences légales et des coordonnées disponibles

Signalez les vulnérabilités suspectées à info@swarpfoundation.com avec suffisamment de détails pour reproduire et valider le problème.

• ›N’accédez pas, ne modifiez pas, ne détruisez pas et n’exfiltrez pas de données qui ne vous appartiennent pas
• ›N’effectuez pas d’attaques par déni de service, spam, ingénierie sociale ou attaques physiques
• ›Laissez-nous un délai raisonnable pour enquêter avant toute divulgation publique

Nous ne revendiquons pas de certification ISO 27001, d’audits tiers terminés ou de certification formelle de test d’intrusion sauf publication séparée. Les affirmations de sécurité doivent rester liées aux contrôles implémentés et aux garanties documentées des fournisseurs.