Sécurité
La sécurité, réglée d'avance.
Un site qui vend, prend des rendez-vous et gère des comptes clients détient des données qui ne sont pas les vôtres. JEIKO les protège par défaut : il n'y a rien à activer, donc rien à oublier.
Les comptes
La porte d'entrée la plus attaquée d'un site, et celle qui ouvre le plus de choses.
- Adresse e-mail vérifiée obligatoire. Un compte ne se connecte qu'une fois son adresse confirmée ; les inscriptions jamais confirmées sont supprimées au bout de trente jours.
- Mots de passe d'au moins dix caractères, refusés s'ils sont trop courants, trop proches du nom ou entièrement numériques.
- Double authentification au choix : application d'authentification, clé de sécurité ou passkey, codes de secours — ou, à défaut, un code à six chiffres envoyé par e-mail.
- Journal de sécurité : connexions, échecs, déconnexions, changements de rôle. Après un incident, on sait quand et d'où.
- Sessions actives visibles, et un bouton qui déconnecte réellement partout.
- Des rôles plutôt qu'un super-utilisateur pour tous : chaque collaborateur, et chaque agent IA, ne reçoit que les droits de son domaine.
Ce que l'on saisit et ce que l'on envoie
Tout ce qui entre dans le site est contrôlé avant d'en ressortir, chez vos visiteurs ou dans votre boîte de réception.
- Le HTML est assaini à l'enregistrement : la mise en forme reste, mais les balises
script, les attributson…et les liensjavascript:sont retirés. Un rédacteur ne peut pas, même par mégarde, faire exécuter du code chez un administrateur. - Le CSS global est analysé, pas recopié : imports, polices et adresses externes sont refusés, et ses règles ne peuvent pas atteindre l'administration.
- Les formulaires publics sont protégés contre les robots : un champ leurre invisible, des plafonds par adresse IP sur la réservation, les formulaires de contact et le consentement aux cookies. Le refus reste volontairement vague, pour ne rien apprendre à un robot.
- Les envois d'images sont vérifiés : seul un vrai fichier image est accepté, quelle que soit son extension.
Les secrets
Une copie de la base — sauvegarde égarée, disque revendu — ne doit livrer aucun accès. JEIKO range donc ses secrets en trois endroits distincts.
- Hors de la base : la clé secrète du site et les identifiants de la base vivent dans le
.env, lisible par le seul compte du site. - Chiffrés en base : clé Stripe, secret de webhook, mot de passe SMTP, secrets de connexion Google ou Apple. La clé de chiffrement est dérivée de la clé secrète, qui n'est jamais en base : un vol de la base seule ne donne rien.
- Jamais conservés : les jetons d'agents IA et les codes de double authentification ne sont gardés que sous forme d'empreinte. Un jeton s'affiche une fois, à sa création ; perdu, il se remplace.
Changer la clé secrète sans perdre les secrets chiffrés
# .env
SECRET_KEY=nouvelle-cle
SECRET_KEY_FALLBACKS=ancienne-cle
# puis réenregistrer les écrans Paiement et E-mail,
# et retirer SECRET_KEY_FALLBACKS
Le serveur
Chaque site tourne sous son propre compte Unix, avec sa base et son service. Le HTTPS est posé à l'installation, et les en-têtes de sécurité suivent.
| Protection | Réglage | Contre quoi |
|---|---|---|
| HTTPS obligatoire | redirection, HSTS d'un an | L'écoute et la modification du trafic |
| Cadres interdits | X-Frame-Options : DENY | Le détournement de clic depuis une page tierce |
| Type de contenu strict | X-Content-Type-Options : nosniff | Un fichier interprété comme un script |
| Référent limité | strict-origin-when-cross-origin | La fuite d'adresses internes vers d'autres sites |
| Cookies | Secure, HttpOnly, SameSite=Lax | Le vol de session et les requêtes forgées |
| Mise à jour | script système hors du site, paquet vérifié par empreinte | Une faille du site transformée en accès administrateur au serveur |
Le site ne peut que déclencher sa mise à jour : ce qui s'exécute avec les droits d'administration appartient au système, pas au site. Avant d'appliquer une version, la base est sauvegardée ; si une étape échoue, la version précédente est rétablie.
Les données personnelles
Le RGPD n'est pas une bannière : c'est une durée de conservation, un droit d'accès et un droit à l'oubli. JEIKO les applique.
- Bannière de cookies par catégorie, avec une preuve de consentement horodatée et la version de la politique acceptée.
- Export des données d'un compte en un fichier : profil, adresses, consentements, commandes, formations, rendez-vous, questionnaires. Jamais le mot de passe, jamais les données d'un tiers.
- Effacement sur demande, avec une preuve qui ne contient plus aucune donnée personnelle.
- Purges automatiques : journal de sécurité au bout d'un an, sessions fermées au bout de trente jours, inscriptions non confirmées au bout de trente jours.
Ajuster les durées de conservation
# .env — en jours
JEIKO_SECURITY_EVENTS_RETENTION_DAYS=365
JEIKO_USER_SESSIONS_RETENTION_DAYS=30
JEIKO_UNVERIFIED_ACCOUNT_TTL_DAYS=30
Ce qui reste à votre charge
Un outil honnête dit aussi ce qu'il ne fait pas.
- Une sauvegarde hors du serveur. JEIKO sauvegarde la base chaque jour et avant chaque mise à jour, sur la machine elle-même. Une copie ailleurs vous protège de la perte du serveur.
- Les mises à jour du système Debian, qui ne dépendent pas de JEIKO.
- Le choix du second facteur. Le code par e-mail protège d'un mot de passe volé, pas d'une boîte mail compromise : pour un administrateur, préférez une application ou une clé de sécurité.