Sécurité et confidentialité

Hébergement et localisation des données

• Chaque événement, visiteur et compte est stocké dans AWS eu-west-1, en Irlande, ainsi que les sauvegardes.
• Le service fonctionne sur des services AWS gérés (Lambda, DynamoDB, S3, CloudFront et SES pour l'e-mail) et sur ClickHouse Cloud, qui conserve une copie consultable des événements et des journaux d'audit sur AWS en Irlande. Il n'y a pas de serveurs à mettre à jour.
• Les requêtes arrivent au point de présence CloudFront le plus proche du visiteur, qui peut se situer hors de l'UE, puis sont transmises chiffrées vers l'Irlande.
• Les détails IP proviennent de ipapi.is, en Allemagne, qui ne reçoit que l'adresse IP.

Chiffrement

• Tout le trafic vers l'agent, l'API et le tableau de bord utilise TLS.
• Les bases de données sont chiffrées au repos par AWS et ClickHouse Cloud.
• Les résultats scellés chiffrent un événement avec la clé de votre projet (AES-256-GCM), afin que le navigateur ne puisse ni le lire ni le modifier. Nous générons et conservons cette clé, car identify scelle avec elle, et vous la montrons une fois : seuls les détenteurs de la clé du projet peuvent ouvrir un résultat scellé.

Clés et secrets

• Les secret keys sont stockées sous forme de hash SHA-256 et affichées en entier une seule fois, lors de leur création.
• Les clés comportent un préfixe et une somme de contrôle, afin que les scanners de fuites puissent les détecter et qu'une faute de frappe soit refusée sans requête.
• Les webhooks sont signés avec un horodatage, pour que votre serveur puisse rejeter les appels falsifiés et rejoués. Nous conservons le secret du webhook en entier, car nous signons avec lui.

Moins de données par conception

• L'agent ne lit jamais les adresses réseau WebRTC, et les chaînes de requête et les fragments ne quittent jamais le navigateur.
• Les indicateurs et les scores ne reviennent jamais au navigateur. Le mode zero trust masque aussi le visitor ID, et l'agent n'en stocke alors aucun.
• Les URL de page et les referrers sont conservées sous forme d'origine et de chemin, d'origine seule ou pas du tout.

Conservation et suppression

• Chaque projet conserve les événements pendant 30 jours, 1, 3 ou 5 ans, ou jusqu'à leur suppression, valeur par défaut ; les événements expirés sont supprimés automatiquement, généralement en un ou deux jours.
• Un appel API supprime toutes les données d'un ID externe, un autre toutes celles d'un appareil, y compris ses liens avec les navigateurs et les IP.
• La suppression n'atteint pas le cache de recherche d'IP de 90 jours, les envois de webhooks (conservés 30 jours), les journaux des tâches échouées et erreurs (conservés jusqu'à suppression) ni les sauvegardes (35 jours).

Accès au tableau de bord

• Les mots de passe sont stockés avec scrypt, et chaque modification d'un compte met fin à ses sessions.
• Nos propres connexions sont vérifiées par le service lui-même : un bot malveillant ou une identification issue d'un autre navigateur ne peut pas se connecter.
• Un compte ne voit que les projets qui lui ont été attribués. Il n'y a pas encore de rôles : chaque membre de l'équipe peut créer des clés, modifier les paramètres, autoriser l'accès au support et supprimer le projet. L'authentification à deux facteurs n'est pas encore proposée.

Accès support

• Notre équipe support peut lire les événements, l'utilisation et les clés d'un projet uniquement si le projet l'autorise, pendant 12 heures à la fois.
• Les membres de l'équipe l'accordent dans les paramètres du projet ou en acceptant une demande, peuvent y mettre fin à tout moment et voient une bannière pendant que le support consulte.
• Chaque page ouverte par le support est enregistrée dans le journal d'audit de l'organisation.

Conformité