01
Chiffrement de transport
TLS 1.3 avec TLS 1.2 en secours. Perfect Forward Secrecy. HSTS avec soumission preload. Aucun chiffrement obsolète. Enregistrements CAA DNS limitant l'émission de certificats à Let's Encrypt.
Sécurité & Gestion de la qualité
Le portail client et l'infrastructure de Tirugo répondent aux exigences de sécurité des clients B2B industriels. Cette page documente nos mesures techniques et organisationnelles – transparentes et vérifiables.
Vos données restent en Europe
Nous exploitons exclusivement de l'infrastructure dans l'UE et en Suisse. Aucun hébergement cloud américain, aucune transmission de données vers des pays tiers non sécurisés.
- Site serveur principal : Hetzner Online GmbH, centres de calcul Falkenstein et Nuremberg (Allemagne). Certifié ISO 27001, conforme RGPD.
- Envoi d'e-mails (transactionnels) : Resend, Inc. – région UE, Irlande. SPF, DKIM et DMARC actifs sur tirugo.ch.
- Site de sauvegarde : Sauvegardes chiffrées hors site chez un prestataire suisse (détails disponibles sur demande d'audit).
- Aucun transfert vers des pays tiers sauf pour Cloudflare Turnstile (protection anti-bot ; aucune donnée personnelle transférée, uniquement des jetons de vérification).
- Conforme à la nLPD 2023 suisse. Conforme au RGPD pour les clients de l'UE/EEE.
Defense in Depth
Sécurité multi-couche – chaque couche protège de manière indépendante, même si d'autres couches échouent.
02
Sécurité des mots de passe
Argon2id avec 64 Mo de coût mémoire, 3 itérations, 4 threads – l'algorithme de hachage recommandé par OWASP. Les mots de passe ne sont jamais stockés en clair. Vérification de fuite via HaveIBeenPwned en k-anonymat.
03
Authentification à deux facteurs
Obligatoire pour tous les comptes du portail. Mots de passe à usage unique basés sur le temps (TOTP RFC 6238) – compatibles avec Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden. Passkeys/WebAuthn en préparation.
04
Gestion des sessions
Jetons de session opaques (stockés côté serveur). HttpOnly, Secure, SameSite=Strict. Déconnexion automatique après inactivité (15 min admin, 30 min client, 12 h monteur). Sessions actives visibles dans le profil, déconnexion à distance.
05
Chiffrement au repos
Chiffrement LUKS (AES-256) sur le serveur Hetzner. Documents également chiffrés côté serveur (SSE-S3). Sauvegardes de base de données chiffrées avec une clé distincte.
06
Autorisation
Row-Level Security au niveau PostgreSQL – le noyau de la base filtre les accès par rôle. Vérifications additionnelles au niveau application (defense in depth). Tous les identifiants en UUID v7 – aucune attaque par énumération possible.
07
En-têtes de sécurité & CSP
Content Security Policy niveau 3, Strict-Transport-Security avec preload, Permissions-Policy restrictive, tous les en-têtes OWASP actifs. Note : securityheaders.com A+.
08
Rate-limiting & protection anti-bot
Limites multi-niveaux : par endpoint, par IP, par compte. Cloudflare Turnstile contre les bots avancés. Crowdsec pour la détection collaborative. Verrouillage du compte après 5 tentatives échouées avec backoff exponentiel.
09
Validation des entrées
Schémas Pydantic stricts, pas de « extra fields allowed ». Requêtes SQL paramétrées (asyncpg). Encodage de sortie via Jinja2 auto-escape. Téléchargements : contrôle magic-bytes, ré-encodage via Pillow (EXIF strip), assainissement PDF via qpdf.
Surveillance, journalisation, restauration
La sécurité ne s'arrête pas à la mise en œuvre. L'observation continue, la journalisation et la capacité de restauration sont essentielles.
Surveillance permanente
Journaux centralisés via Loki et Grafana. Alertes en cas de connexions échouées (5+ en 5 min), volumes de téléchargement inhabituels, nouveaux processus sous l'utilisateur de service, modifications de PostgreSQL ou nginx. Monitoring d'uptime externe.
Journal d'audit immuable
Toute action d'écriture et tout accès aux documents sont journalisés : ID utilisateur, action, entité, horodatage, hachage IP, hachage user-agent, ID de requête. La table est append-only (trigger DB empêchant UPDATE/DELETE). Chaîne de hachage – chaque événement contient le SHA-256 du précédent. Signé GPG quotidiennement et archivé hors site. Rétention : 7 ans conforme au CO.
Stratégie de sauvegarde (3-2-1)
Trois copies des données, sur deux supports différents, dont une hors site en Suisse. Sauvegardes PostgreSQL incrémentales quotidiennes (WAL-E). Snapshots MinIO complets hebdomadaires. Test de restauration automatisé mensuel. RPO 24 heures, RTO 4 heures.
Détection d'intrusion
Crowdsec sur l'hôte – successeur open-source de Fail2ban avec threat-intelligence collaborative. Blocage automatique des IP attaquantes connues.
Gestion des correctifs
Mises à jour de sécurité automatisées (unattended-upgrades) pour l'OS et les paquets critiques. Scan de dépendances en CI (pip-audit, Safety). Revue manuelle mensuelle des dépendances.
Accès administrateur
Uniquement via VPN WireGuard sur une interface de management séparée. Pas de SSH public. Clés SSH au lieu de mots de passe, pas de connexion root. Chaque accès administratif est journalisé.
Processus et standards
Développement
Revues de code obligatoires (principe des quatre yeux). Analyse statique en CI : Bandit, Semgrep avec règles OWASP, Ruff. Tests automatisés avant chaque déploiement. Environnement de staging identique à la production. Processus de release documenté avec plan de rollback. Protection de branche : commits signés, revues obligatoires sur main.
Audits de sécurité
Pen-tests internes avant chaque version majeure (OWASP ZAP, Burp Suite Community). Pen-test externe annuel par une entreprise suisse. Politique de Responsible Disclosure publiée sur /security-policy.html.
Réponse aux incidents
Playbook d'incident documenté. Processus de notification de violation : signalement au PFPDT dans les 72 heures pour les incidents à notifier. Notification client sans délai pour les incidents pertinents. Post-mortem et leçons apprises après chaque incident.
Parcours de certification
Actuel : OWASP ASVS Niveau 2 (auto-évaluation).
En préparation : certification ISO 27001 (soumission prévue).
Évaluation : rapport SOC 2 Type II.
Pour votre département compliance
Nous soutenons vos audits IT et processus d'achat avec des documents préparés et une communication directe.
Disponible sur demande :
- Tirugo Security Whitepaper – documentation technique de l'architecture de sécurité (PDF, sous NDA)
- Registre des activités de traitement – conforme nLPD
- Contrat de sous-traitance (DPA) – modèle entre Tirugo et votre entreprise
- Rapport SOC 2 – en évaluation
Documentation de sécurité détaillée pour votre équipe IT
E-mail : security@tirugo.ch
Nos engagements
Les sceaux de sécurité Tirugo visualisent des mesures techniques et organisationnelles concrètes. Ce ne sont pas des certificats externes, mais des engagements envers des standards vérifiables.
Conforme nLPD
Loi suisse sur la protection des données 2023.
TLS 1.3
Chiffrement de transport à jour. Vérifiable sur ssllabs.com.
AES-256
Stockage chiffré. Vérifiable en pen-test + doc. interne.
Argon2id
Hachage de mot de passe conforme OWASP. Vérifiable en pen-test + revue de code.
2FA obligatoire
Second facteur requis. Vérifiable via login démo + policy.
OWASP ASVS L2
Application Security Verification Standard Niveau 2. Auto-évaluation, audit externe optionnel.
Journal 7 ans
Log immuable avec chaîne de hachage. Vérifiable via démo + revue de code.
ISO 27001 READY
En préparation. Processus selon ISO 27001 ; certification formelle planifiée.
Note importante : Le sceau ISO 27001 est explicitement marqué « READY / EN PRÉPARATION ». Tirugo n'est actuellement pas certifié ISO 27001. La certification formelle est en préparation.
Questions de sécurité ? Nous répondons.
Questions générales
E-mail : security@tirugo.ch
Signaler une vulnérabilité
Merci de suivre notre politique de Responsible Disclosure. Lisible par machine : security.txt.
Audits IT & grands comptes
Rendez-vous avec le responsable sécurité Tirugo : security@tirugo.ch.
Rapport de transparence
Nous communiquons ouvertement sur les sujets de sécurité. Cette liste est mise à jour trimestriellement.
| Violations de données à notifier depuis le lancement du portail | 0 |
|---|---|
| Dernier pen-test externe | Portail pas encore public – pen-test prévu après mise en service |
| Avis de sécurité ouverts | 0 |
| Dernier contrôle d'intégrité du journal d'audit | Portail pas encore en ligne ; vérification dès la mise en service |
| Disponibilité sur les 12 derniers mois | Valeurs réelles dès le lancement du Trust Center – mesurées via monitoring externe |
Nous communiquons ouvertement sur les incidents de sécurité, y compris ceux qui nous concernent. Cette transparence fait partie de notre engagement qualité.