Sécurité

Chaque compte commence par une adresse e-mail vérifiée : l'inscription envoie un lien d'activation et rien ne fonctionne avant qu'il soit cliqué. Les mots de passe ne sont jamais stockés sous une forme lisible, uniquement sous forme de hachages à sens unique salés. La connexion avec Google est facultative et se rattache au même compte par l'adresse e-mail.

L'authentification à deux facteurs existe sous trois formes indépendantes : une application d'authentification, une clé de sécurité matérielle et une passkey. Elles peuvent être activées ensemble, et en perdre une ne vous prive pas des autres. L'accès administratif de notre côté exige toujours un second facteur.

Paramètres > Sessions liste chaque appareil connecté avec sa dernière activité ; toute session peut être révoquée depuis n'importe quel autre appareil. Connexion, réinitialisation du mot de passe et inscription sont limitées par adresse et protégées contre les abus automatisés.

L'application et sa base de données tournent dans l'Union européenne (Varsovie, Pologne) ; les e-mails transactionnels et d'alerte partent d'un centre de données de l'UE ; le trafic se termine chez Cloudflare uniquement en TLS, et le domaine .app est préchargé HSTS, les navigateurs n'essaient donc jamais le HTTP en clair.

Les secrets des canaux de notification (URL de webhooks, jetons de bots, clés de routage) sont chiffrés au repos et jamais renvoyés en entier par l'API : ils sont tronqués et visibles des seuls propriétaires de l'organisation. Les données de surveillance appartiennent à une organisation ; chaque route de l'API est classée et la frontière entre organisations est couverte par des tests automatisés.

Vous pouvez exporter tout ce que le service détient sur votre organisation sous forme de ZIP depuis Paramètres > Compte, quitter une organisation ou supprimer votre compte vous-même. L'historique d'audit survit à une suppression sous forme anonymisée, comme le RGPD le permet au titre de la responsabilité.

Chaque réponse porte une politique de sécurité du contenu et les protections habituelles du navigateur contre l'encadrement, les fuites entre origines et l'exposition du référent. Les requêtes que le service émet pour vous (webhooks, les contrôles eux-mêmes) passent par une protection qui refuse les adresses privées et internes. Chaque point d'accès public a une limite de débit par adresse ; les entrées hostiles sont rejetées avant d'atteindre l'application.

Un programme de tests de sécurité s'exécute à la demande : chaque route de l'API figure dans une matrice et est parcourue anonymement, en tant que membre, propriétaire et personnel ; des charges hostiles frappent chaque route d'écriture ; la suite est cartographiée sur l'OWASP Top 10 et l'OWASP API Top 10 et complétée par un scanner automatique et un test de fumée en navigateur. Les constats reçoivent un numéro, une gravité et une décision, jamais un correctif silencieux.

Les dépendances et l'environnement d'exécution sont maintenus à jour par une routine régulière de correctifs, et chaque vague est consignée avec le registre des constats.

Les contrôles partent de notre serveur en Pologne et sont confirmés par des régions de surveillance indépendantes en Europe, en Amérique du Nord, en Asie et en Océanie. Chaque région exécute un petit agent dont les versions sont signées cryptographiquement, de sorte qu'une région refuse une mise à jour non signée ; chaque région s'authentifie auprès du hub avec son propre identifiant lié à son adresse.

Une région ne connaît que l'URL qu'on lui demande de contrôler et rapporte le résultat ; elle ne détient ni données de compte, ni identifiants, ni secrets de notification.

Un seul opérateur fait tourner le service, ce qui signifie des circuits courts : les changements en production partent sous forme de commits relus et testés, les secrets vivent hors du code, et les journaux sont renouvelés et conservés peu de temps.

Nous publions notre propre statut sur /status et expliquons chaque chiffre de disponibilité sur la page de méthodologie : ce que nous promettons de mesurer pour vous, nous le mesurons pour nous-mêmes.

Si vous pensez avoir trouvé un problème de sécurité dans Web Watch Tower, dites-le-nous avant d'en parler à quiconque. Écrivez à l'adresse de notre security.txt ou utilisez le formulaire de contact, en indiquant ce que vous avez trouvé, où et comment le reproduire ; une preuve de concept aide, un exploit fonctionnel n'est pas nécessaire.

Nous lisons chaque signalement, en accusons réception, vous tenons informé pendant la correction et, si vous le souhaitez, vous créditons une fois le problème résolu. Nous demandons un délai raisonnable de correction avant toute publication. Il n'existe pas de programme de récompense payant.

Règles de la recherche de bonne foi : pas de déni de service ni de tests de volume, pas d'accès à des données qui ne sont pas les vôtres au-delà du minimum nécessaire pour démontrer le problème, pas d'ingénierie sociale envers nos utilisateurs ou notre personnel, et aucune modification des moniteurs d'autrui. Une recherche qui respecte ces règles ne fera l'objet d'aucune action en justice.