Sécurité de la plateforme

1. Chiffrement

Toutes les communications entre votre navigateur et nos serveurs sont chiffrées avec TLS 1.2+. Les données sensibles au repos (mots de passe, jetons 2FA, codes de récupération) sont hachées avec BCrypt (work factor 11). Les secrets applicatifs sont stockés dans un coffre-fort dédié.

2. Authentification

Les sessions sont gérées via des cookies HttpOnly, Secure et SameSite=Strict avec rotation systématique du jeton de rafraîchissement. L'authentification à deux facteurs (TOTP) est disponible pour tous les comptes et obligatoire pour les administrateurs. Des codes de récupération à usage unique permettent de regagner l'accès en cas de perte du second facteur.

3. Mots de passe

Nous imposons des exigences minimales de robustesse et vérifions chaque mot de passe contre la base de données HaveIBeenPwned (HIBP) via k-anonymity : aucun mot de passe en clair ne quitte jamais nos serveurs lors de cette vérification. Les mots de passe compromis sont rejetés.

4. Journal d'audit

Les événements de sécurité sensibles (connexion, changement de mot de passe, modification du 2FA, accès admin) sont consignés dans un journal d'audit immuable. Chaque entrée est scellée par un hachage HMAC-SHA256 chaîné à l'entrée précédente, permettant la détection de toute altération.

5. Hébergement

Nos serveurs et bases de données sont hébergés au Canada chez des fournisseurs certifiés SOC 2 / ISO 27001. L'accès administratif est restreint, journalisé et protégé par 2FA obligatoire.

6. Sauvegardes

Les bases de données sont sauvegardées de manière chiffrée à fréquence régulière, avec rétention de 30 jours et tests de restauration périodiques. La récupération après sinistre est documentée et exercée chaque trimestre.

7. Divulgation responsable

Vous avez découvert une vulnérabilité ? Nous apprécions votre divulgation responsable. Contactez-nous à l'adresse ci-dessous avec une description détaillée. Nous accusons réception sous 48 h ouvrables.

Contact sécurité:security@frexio.ca

8. Conformité

Frexio respecte la Loi 25 sur la protection des renseignements personnels (Québec), le RGPD pour les utilisateurs européens, et les exigences PCI DSS niveau 4 pour le traitement des paiements via Stripe. Aucune donnée de carte de crédit n'est stockée sur nos serveurs.