Présentation de la sécurité

Un résumé technique pour les évaluateurs de sécurité.

Architecture

• Next.js sur Vercel ; Supabase (Postgres, Auth, Storage, Realtime).
• Tout le trafic en HTTPS avec HSTS ; Content-Security-Policy stricte, frame-ancestors none, no-sniff et Permissions-Policy restrictive.
• La clé service-role n’est utilisée que côté serveur, après une vérification explicite de l’authentification et du rôle.

Protection des données

• Sécurité au niveau des lignes sur chaque table ; les identifiants d’organisation sont immuables sur chaque ligne (imposé par trigger).
• Preuves, fichiers du coffre et exports sont conservés dans un stockage privé cloisonné par espace (les photos de profil sont publiques) ; le coffre juridique exige en outre une session vérifiée en deux étapes.
• Les secrets tiers (clés KRA eTIMS, jetons de calendrier) sont chiffrés en AES-256-GCM avant stockage et ne sont jamais envoyés aux navigateurs.
• Les exports tableur neutralisent l’injection de formules.

Sécurité applicative

• Validation des entrées avec zod sur chaque route API ; protections contre l’assignation de masse ; limitation de débit sur l’authentification, les paiements et les exports.
• Vérification des webhooks : HMAC-SHA256 pour GitHub, challenge IntaSend et revérification du statut côté serveur.
• Protection contre les redirections ouvertes après connexion.

Signaler une vulnérabilité

Contactez l’équipe OrbitOS avec les détails et les étapes de reproduction. Merci de nous laisser un délai raisonnable pour corriger avant toute divulgation.