Sécurité
Comment nous protégeons les données de vos investisseurs.
Les gestionnaires confient à EasyHaus les pièces d’identité, numéros fiscaux et coordonnées bancaires de leurs investisseurs. Cette page décrit simplement les mesures actuellement en place.
Mesures en place
Chiffrement
Les données sont chiffrées en transit et les champs les plus sensibles sont à nouveau chiffrés dans la base de données.
- Tout le trafic utilise TLS avec HSTS.
- Les identifiants fiscaux, numéros de pièce d’identité, numéros de compte bancaire, identifiants des bénéficiaires effectifs, secrets du second facteur et codes de récupération sont chiffrés avec AES-256-GCM. La clé est conservée hors de la base de données et peut être renouvelée.
- Les champs chiffrés ne sont affichés intégralement qu’aux propriétaires et administrateurs, sont masqués ailleurs et ne sont jamais écrits dans les journaux.
- La piste d’audit masque les champs chiffrés, adresses e-mail et numéros de téléphone.
Séparation des organisations
Chaque organisation est un espace isolé.
- Chaque requête de base de données est limitée à une organisation et un contrôle automatique rejette les requêtes qui ne le sont pas.
- Une suite de tests d’isolation crée deux organisations aux données identiques et vérifie qu’aucun point de terminaison ne renvoie ni ne modifie les données de l’autre.
- Un enregistrement d’une autre organisation est présenté comme introuvable pour ne pas révéler son existence.
- Une session de portail appartient à une organisation et une adresse et est refusée ailleurs.
Comptes et connexion
La connexion est protégée contre les tentatives de devinette et le vol de sessions.
- Les mots de passe sont hachés avec argon2id, doivent comporter au moins 10 caractères et sont comparés aux fuites connues.
- Authentification à deux facteurs avec application d’authentification et codes de récupération. Les propriétaires peuvent l’exiger pour tous les membres.
- Dix codes incorrects consécutifs bloquent le second facteur pendant une heure et déclenchent un e-mail à l’utilisateur.
- Les jetons de session sont des valeurs aléatoires de 256 bits conservées uniquement sous forme d’empreinte, avec expiration d’inactivité et absolue. Les utilisateurs peuvent consulter et fermer leurs sessions.
- Réinitialiser un mot de passe ferme toutes les sessions ; le modifier ferme toutes les autres.
- Les demandes de connexion, réinitialisation et liens par e-mail sont limitées en fréquence, et les liens ne servent qu’une fois.
Accès du personnel EasyHaus
Notre personnel ne consulte pas librement les données clients.
- L’assistance ne peut intervenir dans votre organisation qu’après activation de son accès par le propriétaire et doit fournir un motif à chaque fois.
- Les sessions d’assistance peuvent modifier un ensemble limité d’enregistrements. Elles ne permettent ni d’inviter des membres, ni de modifier la sécurité, ni de lire des identifiants déchiffrés.
- Chaque action d’assistance figure dans votre piste d’audit et désactiver cet accès ferme les sessions d’assistance en cours.
- L’administration de la plateforme exige l’authentification à deux facteurs et des sessions courtes.
Sécurité de l’application
Les attaques web courantes sont prises en compte dès la conception.
- Politique Content Security Policy stricte avec nonces par requête ; les autres sites ne peuvent pas intégrer les pages dans des cadres.
- Toute requête modifiant l’état exige un en-tête personnalisé et les cookies sont HttpOnly, Secure et SameSite.
- Les fichiers importés sont contrôlés par taille et contenu réel, limités à une liste de types autorisés et servis en téléchargement. Les images sont décodées puis réencodées, ce qui supprime leurs métadonnées.
- Les liens d’importation sont de courte durée et à usage unique.
- Les exports CSV neutralisent les cellules qu’un tableur exécuterait comme formules.
- Les requêtes sont strictement validées et les erreurs n’exposent jamais de détails internes.
- Les dépendances sont analysées à la recherche de vulnérabilités connues avec govulncheck et pnpm audit.
Traçabilité et responsabilité
Vous pouvez prouver ce qui s’est passé et quand.
- Une piste d’audit de chaque modification : auteur, action, valeurs avant et après, moment et adresse d’origine. Elle ne peut pas être supprimée.
- Les accusés de réception des documents enregistrent l’utilisateur, la version, l’heure et l’empreinte du fichier.
- Chaque téléchargement de document est contrôlé et journalisé.
Confidentialité et droits sur les données
Des outils pour répondre aux demandes de vos investisseurs.
- Exportez les données d’un client dans un ZIP ou celles de toute votre organisation.
- Effacez un client : les champs personnels sont remplacés et les documents supprimés, tandis que les données financières conservent un nom anonymisé.
- Une organisation supprimée reste récupérable pendant 30 jours, puis ses données et fichiers sont définitivement effacés.
- Seuls les cookies strictement nécessaires sont utilisés par défaut. Google Analytics sur le site marketing et dans l’application ne fonctionne qu’avec votre consentement lorsque la loi l’exige. Aucun cookie publicitaire.
Revues et tests
Un examen de sécurité interne de l’application a été réalisé en octobre 2026 et ses conclusions ont été traitées. Aucun test d’intrusion indépendant n’a encore été réalisé.
Signaler une vulnérabilité
Si vous pensez avoir trouvé un problème de sécurité, signalez-le via le formulaire de contact avec le sujet Signalement de sécurité, sans détails d’exploitation avant notre réponse. Pendant vos tests, veuillez ne pas accéder aux données d’autrui ni perturber le service.
Votre équipe conformité a des questions ?
Nous serons heureux d’examiner ces mesures avec vous.
