Sécurité et données

Ce qu’un audit fait à vos systèmes

Rien que vous remarqueriez. Chaque contrôle lit des enregistrements DNS publics, des journaux publics de certificats, des bases publiques (InternetDB de Shodan, la liste des vulnérabilités exploitées de la CISA, EPSS, Spamhaus), ou la réponse que vos serveurs web et de messagerie donnent déjà à tout visiteur : une requête HTTPS vers la page d’accueil et quelques fichiers bien connus, une négociation TLS, une salutation SMTP à chaque serveur de messagerie. Nous suivons les conventions de robots.txt quand elles s’appliquent, nous nous identifions dans l’en-tête User-Agent, et nous n’envoyons jamais plus de quelques requêtes par hôte et par audit.

Nous ne scannons pas de ports, n’exploitons pas de vulnérabilités, ne devinons pas d’identifiants, ne soumettons pas de formulaires et n’explorons pas votre site. La recherche de fichiers sensibles (sauvegardes, fichiers de configuration, dépôts exposés) existe en option, désactivée par défaut, disponible seulement sur les domaines dont la propriété est prouvée, et elle ne conserve jamais le contenu de ce qu’elle trouve, seulement le fait que le fichier est accessible.

Preuve de propriété

Vous pouvez voir un aperçu de rapport pour n’importe quel domaine, car tout ce qu’il contient est public. Mais les alertes, l’historique, la planification et la surveillance des domaines sosies ne s’activent qu’après l’ajout, dans la zone DNS du domaine, d’un enregistrement TXT que nous vous donnons. Nous le vérifions avant chaque audit. S’il disparaît, les audits s’arrêtent et nous vous prévenons. Perimetry Cloud ne peut donc pas servir à surveiller des domaines qui ne sont pas les vôtres.

Ce que nous conservons

• Votre compte : adresse e-mail, empreinte du mot de passe (Argon2id), secret du second facteur s’il est activé, pays de facturation et numéro de TVA pour les factures.
• Vos domaines et l’état de leur preuve de propriété.
• Les résultats des audits : constats, scores et l’instantané qui sert à calculer les changements (noms d’hôte, enregistrements DNS, empreintes de certificats, ports ouverts, liste des sosies). Nous ne gardons aucune copie de vos pages ; les contrôles web ne conservent que les en-têtes et quelques faits extraits, comme les noms des bibliothèques détectées.
• Les réglages d’alerte : adresses e-mail et adresses de webhook, chiffrées au repos.

L’historique est conservé pendant la durée prévue par votre offre (12 ou 24 mois) et 90 jours après la résiliation, puis supprimé. Vous pouvez tout exporter en JSON à tout moment et supprimer vous-même votre compte.

Où sont les données

Sur des serveurs aux Pays-Bas, dans l’Union européenne, avec des volumes chiffrés et des sauvegardes quotidiennes chiffrées conservées dans l’Union. Cloudflare est placé devant le service ; l’origine n’accepte aucun trafic direct. Les données de paiement n’atteignent jamais nos serveurs : le prestataire de paiement traite la carte et nous envoie un jeton.

Comment le service se protège

• Mots de passe protégés par Argon2id ; codes à usage unique basés sur le temps (TOTP) en option comme second facteur ; clés d’accès (WebAuthn, le verrou de l’appareil étant toujours exigé) ; connexion avec Google, qui n’ouvre jamais qu’un compte que son titulaire a lié à ce compte Google, jamais un compte qui partage seulement son adresse ; connexion limitée en fréquence et bloquée après des échecs répétés ; ajouter ou retirer une façon de se connecter demande de confirmer qu’il s’agit bien de vous, et la dernière ne peut pas être retirée ; sessions liées au navigateur et expirées après inactivité.
• Tout le trafic en HTTPS avec HSTS préchargé ; Content-Security-Policy stricte ; les mêmes en-têtes de sécurité que ceux sur lesquels nous vous évaluons.
• Le moteur d’audit tourne dans des conteneurs isolés, sans autre accès à la base que par une file d’attente ; il n’est pas joignable depuis Internet.
• Les connexions sortantes du moteur d’audit refusent les adresses privées, de bouclage et de lien local (link-local) au moment de la connexion : un enregistrement de domaine ne peut pas servir à nous faire sonder notre propre réseau.
• Dépendances mises à jour automatiquement et analysées à chaque construction ; le scanner open source exécute les mêmes contrôles contre lui-même.

Tests d’intrusion

Tous les six mois, Perimetry Cloud fait l’objet d’un test d’intrusion qui couvre le site, l’application, son API et l’infrastructure qui les porte. Contrairement à nos audits, qui restent passifs, ces tests cherchent activement à entrer, comme le ferait un attaquant. Les problèmes trouvés sont corrigés par ordre de gravité. Ils s’ajoutent aux mesures permanentes décrites ci-dessus et aux signalements que nous recevons des chercheurs en sécurité.

Signaler une vulnérabilité

Si vous trouvez un problème de sécurité dans Perimetry Cloud ou dans le scanner open source, écrivez à security@perimetry.cloud. Nous répondons sous deux jours ouvrés, vous tenons informé et vous citons si vous le souhaitez. Merci de ne pas faire de tests sur les domaines ou les comptes d’autres clients ; un compte gratuit et votre propre domaine suffisent pour reproduire la plupart des problèmes. Notre fichier security.txt donne les mêmes informations.

Sous-traitants

Hébergement aux Pays-Bas ; Cloudflare pour le DNS, la terminaison TLS, l’envoi des e-mails et le pare-feu applicatif ; un prestataire de paiement pour le traitement des cartes. La liste est tenue à jour sur cette page.