Confiance et sécurité
Ce qui protège vos données, et la date à laquelle nous avons prouvé chaque contrôle pour la dernière fois. Rien ici ne mesure notre exposition du moment : cela servirait le mauvais lecteur bien plus que le bon.
Des preuves, pas des adjectifs
4 contrôles datés sur 4 confirmés dans leur propre cadence, lus dans les systèmes qui les exécutent.
- 2026-10-26
Sauvegarde chiffrée, vérifiéeConfirméchaque nuit
142 tables, 233,783 lignes, relues et déchiffrées après écriture.
- 2026-10-01
Archive froide relueConfirméchaque trimestre
La plus ancienne sauvegarde conservée, vieille de 14 jours, ouverte en 1.1 s.
- 2026-10-26
Journal d’audit scelléConfirméchaque jour
Le registre des actions privilégiées est scellé cryptographiquement chaque jour : l’historique ne peut pas être réécrit en douce.
- 2026-10-22
Nomenclature logicielleConfirméà chaque version
CycloneDX 1.5, 727 composants en production.
DisponibilitéMesuré à l’extérieurobjectif 99,5 % par mois
Surveillée par un moniteur de disponibilité indépendant. État en direct
Nous publions la date du dernier passage d’un contrôle — jamais une mesure en direct de notre exposition. Un contrôle que nous ne pouvons pas confirmer est montré comme tel, jamais retiré.
Ce que nous ne sommes pas, pas encore
Nos contrôles visent l’alignement SOC 2. Aucun auditeur n’a délivré d’attestation, et nous n’en revendiquerons pas avant.
L’authentification, l’e-mail et le routage IA sont des prestataires américains. La base de données, le suivi des erreurs et l’analytique sont dans l’UE. Chacun est listé plus bas.
La détection tourne toutes les 30 minutes, jour et nuit. Une personne répond aux heures de bureau, heure de Rome.
Aucun score de posture, aucun nombre d’anomalies ouvertes, aucune liste de contrôles en échec. Cela reste chez les personnes qui peuvent agir.
Ce à quoi nous nous engageons
Chaque engagement dit comment vous pouvez nous y tenir : daté en direct plus haut, vérifié automatiquement avant chaque mise en ligne, ou écrit dans nos politiques.
Prouvé en directVérifié automatiquementPolitique écrite3 prouvés en direct · 12 vérifiés automatiquement · 21 en politique écrite
Protection des données et vie privée5 engagements
- Nous tenons un registre des traitements (RGPD art. 30). Un rôle protection des données, à l’accès confiné, existe ; le DPO sera nommé sur cette page quand il sera désigné.Politique écrite
- L’accès, l’export et la suppression de vos données se font vous-même, depuis votre compte.Politique écrite
- Le consentement est enregistré par finalité, et les accès aux données personnelles sont journalisés.Politique écrite
- La base de données, le suivi des erreurs, l’analytique et la limitation de débit tournent dans l’UE. L’authentification, l’e-mail et le routage IA tournent aux États-Unis.Politique écrite
- Aucune requête n’est envoyée à un fournisseur d’IA qui la conserve ou s’en sert pour s’entraîner.Vérifié automatiquement
Chiffrement6 engagements
- Tout le trafic est chiffré en transit par TLS ; HTTPS est imposé avec HSTS.Politique écrite
- Les données sont chiffrées au repos par nos fournisseurs de base de données et de stockage.Politique écrite
- AES-256-GCM en plus pour les secrets de second facteur, les jetons de connexion et les motifs de mandat ; les clés de second facteur changent sans bloquer personne.Vérifié automatiquement
- Sauvegardes quotidiennes chiffrées hors site, relues et déchiffrées après chaque écriture.Prouvé · 2026-10-26
- Chaque type de lien signé ou de sceau a sa propre clé : un lien de revendication ne peut pas passer pour un sceau de mandat ou une attestation, quoi qu’il contienne.Vérifié automatiquement
- Aucun secret dans le code source : un scanner lit chaque envoi et tout l’historique.Vérifié automatiquement
Contrôle d’accès7 engagements
- Accès par rôles au moindre privilège ; les rôles annexes sont confinés à leur section, et un rôle élevé peut porter une date de fin.Vérifié automatiquement
- Un second facteur (TOTP) peut être exigé pour chaque compte du personnel, et une clé d’accès pour chaque rôle — le super-admin d’abord.Politique écrite
- Chaque requête admin passe par la même porte, qui vérifie le second facteur ; les actions sensibles en demandent un nouveau.Vérifié automatiquement
- Le personnel ne modifie la page d’un commerce que sous un mandat limité dans le temps, émis et révocable par son propriétaire ; les messages privés ne sont jamais délégables.Vérifié automatiquement
- Une organisation hébergée décide de tout accès de Corners à son bureau, son code ou le détail de ses incidents : un droit à la fois, limité dans le temps, avec une clé d’accès.Vérifié automatiquement
- Le départ d’un membre est une seule action : les sessions sont coupées d’abord, puis rôles, seconds facteurs, appareils et mandats.Vérifié automatiquement
- Les actions admin privilégiées sont inscrites dans un journal d’audit scellé chaque jour.Prouvé · 2026-10-26
Sécurité applicative5 engagements
- Une Content-Security-Policy stricte par requête : les scripts portent un nonce, sans unsafe-inline ni unsafe-eval en production. Les styles en ligne restent autorisés.Politique écrite
- Nos serveurs ne peuvent appeler que les hôtes d’une liste déclarée.Vérifié automatiquement
- Les dépendances sont analysées chaque jour et les résultats vont à notre agent de sécurité ; une revue de sécurité par IA passe sur les changements proposés.Politique écrite
- Des analyses alignées OWASP (dépendances et site en fonctionnement) signalent les problèmes ; un risque accepté est écrit, avec sa raison.Politique écrite
- Le texte non fiable envoyé à un modèle d’IA est encadré comme donnée, et les routes sensibles ont un débit limité.Politique écrite
Infrastructure et disponibilité3 engagements
- Postgres managé, plus nos propres sauvegardes quotidiennes chiffrées, dont la plus ancienne est relue chaque trimestre. Objectifs de reprise : 24 heures de données, 4 heures pour restaurer.Prouvé · 2026-10-01
- Le changement d’une clé n’est enregistré qu’une fois la nouvelle clé prouvée en fonctionnement.Vérifié automatiquement
- Un test anti-robot protège les formulaires publics d’assistance et de signalement.Politique écrite
Surveillance et réponse aux incidents5 engagements
- La détection des menaces d’identité rejoue la piste d’audit toutes les 30 minutes contre des règles alignées sur MITRE ATT&CK, voyages impossibles compris.Vérifié automatiquement
- Un capteur de sécurité (Wazuh) tourne hors de notre hébergement, dans l’UE, et renvoie des alertes signées — une panne d’hébergement ne nous rend pas aveugles.Politique écrite
- Les erreurs sont suivies en continu (Sentry, UE), et un chien de garde nous alerte quand une protection programmée se tait.Politique écrite
- Le confinement est réel et tracé : sessions et appareils révoqués, second facteur réinitialisé, compte suspendu.Politique écrite
- Un processus d’incident écrit, avec des niveaux de gravité, et un post-mortem sans reproche sous 48 heures pour tout incident important.Politique écrite
Gouvernance de la sécurité4 engagements
- Douze politiques de sécurité écrites — accès, changements, incidents, continuité, fournisseurs, traitement des données, entre autres.Politique écrite
- Une analyse de risques annuelle et documentée, scénarios de fraude compris, avec des contrôles nommés et les risques acceptés écrits.Politique écrite
- Un registre des fournisseurs par niveau de criticité, avec un plan de sortie pour chaque fournisseur critique.Politique écrite
- Des instantanés mensuels de preuves — posture, sauvegardes et sceaux d’audit — écrits une seule fois.Politique écrite
Paiements1 engagement
- Corners n’encaisse encore aucun paiement. Quand ce sera le cas, le paiement passera par des prestataires hébergés (Stripe, Flutterwave), et aucun numéro de carte n’atteindra Corners.Politique écrite
Qui traite des données pour nous
14 sous-traitants, lus dans le registre que tient notre rôle protection des données. Une seule liste, jamais retapée.
- Hetzner Online GmbHHosting of the Wazuh security VM (operated by Corners)EU (Falkenstein, Germany)
- NeonPrimary database (Postgres)EU (Frankfurt)
- PostHogProduct analytics (consent-gated)EU (Frankfurt)
- SentryError monitoring & masked session replay (debugging/security)EU (Frankfurt)
- UpstashRate-limiting (Redis)EU (Frankfurt)
- CloudflareTurnstile CAPTCHA & image genGlobal edge
Les finalités sont écrites comme dans le registre, en anglais.
Vous avez trouvé une faille ?
Écrivez-nous — nous accusons réception sous 72 heures. Merci de ne rien divulguer publiquement avant que nous ayons corrigé.
security.txt (RFC 9116) · expire le 2027-07-14 · langues en, fr
Documents sur demande
- Accord de traitement des donnéesRGPD art. 28
- Questionnaire de sécuritérempli par une personne
- Nomenclature logicielleCycloneDX, avec son empreinte
Fourni par transparence ; ne fait partie d’aucun contrat. Les conditions de traitement sont dans notre DPA.