Infrastructure
5 en place - ✓
Plateforme hébergée en France Applications, base de données et identités chez Scaleway, Paris (PAR2).
- ✓
Sauvegardes chez un autre fournisseur PostgreSQL sauvegardé en continu chez OVHcloud, Gravelines, avec restauration à un instant donné.
- ✓
Page de statut hors infrastructure status.okstatus.eu tourne chez un autre hébergeur, sur un autre site, avec ses propres sondes : elle reste lisible quand la plateforme ne l'est pas.
- ✓
Infrastructure décrite en code Toute l'infrastructure est versionnée dans Git : un opérateur compétent peut la reconstruire.
- ✓
Sondes cloisonnées par région Chaque sonde s'authentifie avec son propre identifiant et ne reçoit que les vérifications de sa région.
Chiffrement
4 en place - ✓
TLS 1.2+ partout HSTS activé sur chaque hôte public.
- ✓
Secrets clients chiffrés au repos Identifiants de monitors, jetons de canaux d'alerte et clés API en AES-256-GCM, sous une clé stockée à part des données.
- ✓
Sauvegardes chiffrées Côté serveur, en AES-256.
- ✓
Push chiffré de bout en bout Web Push (RFC 8291) : le service push du navigateur ne lit pas le contenu.
Accès & identité
4 en place - ✓
Authentification Keycloak Mot de passe, connexion sociale ou votre propre fournisseur d'identité.
- ✓
SSO SAML / OIDC Sur le plan Enterprise.
- ✓
Double authentification TOTP Disponible pour chaque compte, imposable par organisation, obligatoire pour notre console interne.
- ✓
Rôles appliqués côté serveur Propriétaire, administrateur, membre, lecteur.
Traçabilité
4 en place - ✓
Journal d'audit complet Chaque création, modification et suppression : qui, quoi, quand, depuis où.
- ✓
Export CSV du journal Dans le tableau de bord, sur le plan Enterprise.
- ✓
Actions de l'équipe journalisées à part
- ✓
Mesure d'audience auto-hébergée Matomo sur matomo.clearcloud.fr, en France, sans cookie de mesure.
Sauvegarde & continuité
4 en place - ✓
RPO 15 minutes · RTO 4 heures Au plus 15 minutes de données perdues, reprise en moins de 4 heures.
- ✓
Restauration testée chaque trimestre Dernier test le 28 septembre 2026 : base complète restaurée en 2 min 22 s.
- ✓
30 jours de rétention des sauvegardes
- ✓
Préavis de 90 jours en cas d'arrêt Service maintenu et export ouvert pendant le préavis, remboursement au prorata (CGU, art. 9.3).
Chaîne logicielle
4 en place - ✓
Images reconstruites depuis des bases épinglées
- ✓
Scan des vulnérabilités en CI Une vulnérabilité CRITICAL bloque la publication de l'image.
- ✓
Nouveau scan quotidien dans le cluster
- ✓
Audit des dépendances à chaque build
Données & confidentialité
4 en place - ✓
Rétention limitée par plan 90 jours, 6, 12 ou 24 mois selon le plan, puis suppression automatique chaque jour.
- ✓
Export JSON à tout moment Sur tous les plans. API REST et Terraform en plus sur Max et Enterprise.
- ✓
Restitution ou suppression sous 30 jours À la fin du contrat.
- ✓
Aucun outil tiers de support, CRM ou suivi d'erreurs Aucun ne reçoit vos données.
Divulgation responsable
3 en place - ✓
security.txt publié /.well-known/security.txt, conforme à la RFC 9116.
- ✓
Accusé de réception sous 2 jours ouvrés
- ✓
Engagement de non-poursuite Pour la recherche de bonne foi, sans destruction de données, atteinte à la vie privée ni interruption de service.
Pas encore en place
2 écarts -
Certification SOC 2 ou ISO 27001Sur la feuille de route, pas obtenue.
-
Test d'intrusion par un tiersTest interne fait le 3 novembre 2026 ; test par un pentester indépendant prévu.