Centre de confiance
Sécurité, confidentialité et conformité chez ChaosDesk
Ce qui protège vos données de support, où elles se trouvent, qui nous aide à les traiter et où en est notre programme de conformité.
Dernière mise à jour
Aperçu
ChaosDesk est en bêta privée. Toute la plateforme tourne sur un serveur à Falkenstein, en Allemagne, derrière Cloudflare, avec Docker Compose. Cela suffit pour les premiers clients et nous disons clairement ce que ce n'est pas : pas encore de second serveur, pas de basculement automatique ni d'engagement de disponibilité, un objectif de point de reprise de 6 heures, et aucune certification de sécurité. Tout ce qui figure sur cette page décrit cette configuration et précise où la plateforme de production fera davantage. Les documents juridiques ci-dessous sont des projets en attente de relecture par un avocat.
Localisation des données
Tout est en Allemagne : le serveur, la base de données et la recherche tournent sur le site Hetzner de Falkenstein, les pièces jointes et les sauvegardes externes de la base dans DigitalOcean Spaces à Francfort. Les données de support ne quittent l'UE qu'avec les sous-traitants listés, dans le cadre des clauses contractuelles types.
Isolation des espaces de travail
Chaque ligne porte son espace de travail, et la base de données l'impose par une sécurité au niveau des lignes. Les index de recherche, fichiers, caches et canaux temps réel sont cloisonnés de la même façon. Des tests entre espaces de travail s'exécutent à chaque modification.
Chiffrement
TLS 1.2 ou plus récent avec HSTS pour chaque connexion vers nous, et TLS à l'intérieur de l'infrastructure. Nos hébergeurs et fournisseurs de stockage chiffrent leurs disques et le stockage objet. Les secrets d'intégration utilisent une clé propre à votre espace de travail.
Développement sécurisé
Analyse statique (Semgrep, PHPStan), contrôle des dépendances et des secrets dans la CI, un scan ZAP de base en préproduction, une protection SSRF sur chaque appel sortant, ainsi que du texte enrichi et des thèmes de centre d'aide assainis.
Audit et accès
Historique des tickets non modifiable, journaux d'audit d'administration et d'accès exportables ou diffusables. Nous ne voyons votre espace de travail que si vous accordez un accès au support, et chaque session figure dans votre journal d'audit.
IA respectueuse de la vie privée
Les fonctions d'IA sont désactivées pendant la bêta privée : aucun fournisseur d'IA n'est connecté, donc aucun texte de ticket n'a quitté nos serveurs. Une fois activées, les données personnelles sont masquées d'abord, jamais utilisées pour entraîner des modèles, et les administrateurs peuvent désactiver complètement l'IA.
En détail
Mesures de sécurité
- Chiffrement en transit
- TLS 1.2+ (TLS 1.3 de préférence) en périphérie et jusqu'à l'origine, HSTS (2 ans, sous-domaines) sur chaque réponse de l'application et de l'API, TLS à l'intérieur de l'infrastructure vers la base de données, le cache et la file.
- Chiffrement au repos
- Chiffrement côté fournisseur des disques du serveur et du stockage objet qui contient pièces jointes et sauvegardes. Les mots de passe sont hachés avec Argon2id ; les jetons d'API et les sessions du portail sont stockés sous forme de hachages SHA-256. Des clés d'enveloppe par espace de travail (XChaCha20-Poly1305) protègent les secrets d'intégration, de canaux et de SSO ; supprimer la clé les rend illisibles, sauvegardes comprises. Le chiffrement de volume LUKS2 et les sauvegardes chiffrées côté client arrivent avec la plateforme de production.
- Authentification
- Mots de passe hachés avec Argon2id, MFA (application d'authentification, passkeys, clés de sécurité), connexion avec Google ou Microsoft, SSO avec SAML et OpenID Connect, provisionnement SCIM, politiques de session et de mot de passe, listes d'adresses IP autorisées (Enterprise).
- Sauvegardes et reprise
- Sauvegardes quotidiennes de tout le disque du serveur conservées 7 jours, un export vérifié de la base toutes les 6 heures et un export nocturne de la recherche vers le stockage objet d'un second fournisseur, conservés 30 jours. L'objectif de point de reprise de la bêta est donc de 6 heures. Les scripts de restauration sont répétés sur des copies jetables ; le premier exercice sur le matériel de production, l'archivage continu pour une reprise à un instant donné et une copie externe immuable arrivent avec la plateforme de production.
- Surveillance
- Une page d'état indépendante vérifie chaque minute, depuis le réseau de Cloudflare, le site, l'application, l'API, un espace de travail, le centre d'aide et le hub temps réel, et nous alerte par e-mail et chat ; les erreurs vont à Sentry (région UE). Les journaux d'audit enregistrent les actions des administrateurs et du personnel. Les métriques et alertes internes et une astreinte formelle arrivent avec la plateforme de production.
- Gestion des vulnérabilités
- Audit des dépendances (Composer et npm), recherche de secrets sur tout l'historique (gitleaks) et analyse statique (Semgrep) à chaque modification, une exécution hebdomadaire planifiée, un scan ZAP de base en préproduction, une nomenclature logicielle par version et un programme de divulgation responsable. L'analyse des images de conteneurs et un test d'intrusion externe sont prévus avant le lancement.
- Prévention des abus
- Contrôle à l'inscription avec Cloudflare Turnstile, limites d'envoi et suivi de réputation, noms d'espaces de travail trompeurs bloqués, liens de signalement sur les pages hébergées, analyse antivirus des pièces jointes (ClamAV) et une procédure de retrait.
- Personnes
- Une petite équipe. Les comptes du personnel utilisent la MFA, l'accès au serveur se fait uniquement par clé SSH détenue par le fondateur, et l'accès du support à un espace de travail nécessite votre accord et est journalisé. Ordinateurs gérés et chiffrés, vérifications des antécédents, formation à la sécurité et revue trimestrielle des accès sont décrits dans nos règles internes et en cours d'adoption, pas encore audités.
Feuille de route de conformité
L'état actuel
Les certifications prennent du temps. Nous indiquons ce qui est en place, ce qui est en préparation et ce qui n'est pas encore prévu.
| Sujet | État | Détails |
|---|---|---|
| RGPD | En place | Hébergement dans l'UE, accord de traitement des données, outils pour exporter et effacer les données d'un utilisateur final, politiques de conservation et caviardage. |
| Accord de traitement des données | Projet, définitif avant le lancement | Notre DPA standard, avec les clauses contractuelles types de l'UE si nécessaire, notification des violations sous 48 heures. |
| Sous-traitants | Publié | La liste complète, avec finalité et localisation. Les changements sont annoncés 30 jours à l’avance. |
| Test d'intrusion externe | Pas encore réalisé | Périmètre : application, API, centre d'aide, messenger et isolation des espaces de travail ; prévu avant le lancement public. Aucun test n'a été réalisé, il n'y a donc pas encore de rapport à partager. |
| SOC 2 Type I | En préparation | Politiques rédigées et en attente d'adoption (accès, réponse aux incidents, chiffrement, gestion des fournisseurs, sécurité du personnel). Aucun auditeur mandaté ni période d'audit fixée. |
| SOC 2 Type II | Prévu | Suit le Type I après la période d'observation. |
| ISO 27001 | Pas encore prévu | Nous y reviendrons lorsque des clients le demanderont. |
| Accessibilité (WCAG 2.1 AA) | En cours | Contrôles automatiques axe-core de l'application, du centre d'aide, du messenger et de la connexion à chaque exécution de bout en bout ; un problème grave ou critique fait échouer la compilation. L'audit manuel au clavier et au lecteur d'écran reste à faire, et notre rapport de conformité d'accessibilité (VPAT) est un projet. |
Sous-traitants
Sept fournisseurs nous aident aujourd'hui à faire fonctionner ChaosDesk : Hetzner (hébergement, Allemagne), Cloudflare (DNS, proxy, TLS, le contrôle à l'inscription et la page d'état), DigitalOcean Spaces (pièces jointes et sauvegardes externes, Francfort), Resend (e-mail, région UE), Google Workspace (notre propre messagerie), Sentry (rapports d'erreurs, région UE) et Paddle (paiements, en mode sandbox uniquement pendant la bêta). La liste des sous-traitants indique chacun, son rôle, où il traite les données et la base du transfert. Les propriétaires d'espaces de travail sont prévenus 30 jours avant tout changement.
Adresses IP à autoriser
Si vos systèmes n'acceptent que du trafic de sources connues, les adresses d'où proviennent nos webhooks, le proxy d'applications et le connecteur de données client figurent sur la page Adresses IP (en anglais). Ce sont aujourd'hui celles de la bêta privée ; elles changent une fois au lancement public, avec 30 jours de préavis, les deux jeux restant actifs pendant ces 30 jours, et un e-mail aux administrateurs.
État et disponibilité
Disponibilité en direct et historique des incidents : status.chaosdesk.io. Elle tourne sur le réseau de Cloudflare, pas sur notre serveur, et répond donc même quand nous sommes indisponibles. Chaque minute, elle vérifie ce site, l'application, l'API avec sa base, sa file, son cache et sa recherche, un espace de travail, le centre d'aide et le hub temps réel ; elle ne marque une vérification en panne qu'après deux échecs consécutifs et répond de façon lisible par machine à /api/status sur le même hôte.
Nous n'offrons pas d'engagement de disponibilité pendant la bêta privée : toute l'infrastructure tourne sur un serveur, un redémarrage ou un incident chez un fournisseur se voit donc comme une interruption. Les chiffres de disponibilité de la page de tarifs s'appliquent à partir du lancement public, sur la plateforme de production, et l'accord de niveau de service qui les décrit reste à rédiger.
Réponse aux incidents
Nous avons une procédure écrite de réponse aux incidents, avec des niveaux de gravité, un responsable désigné et une analyse après chaque incident grave. Si un incident de sécurité touche des données personnelles de votre espace de travail, nous vous prévenons sans retard injustifié et dans les 48 heures suivant sa découverte, avec les éléments nécessaires à votre propre notification sous 72 heures au titre de l'article 33 du RGPD, et vous tenons informé jusqu'à sa clôture.
Signaler une vulnérabilité
Écrivez à [email protected]. Nous accusons réception sous un jour ouvré et n'engageons pas de poursuites contre la recherche de bonne foi. Règles et périmètre : divulgation responsable ; contact lisible par machine : security.txt.
Signaler un abus
Hameçonnage, spam ou contenu nuisible sur un centre d'aide, une communauté ou un messenger hébergés par ChaosDesk, ou e-mail envoyé par notre intermédiaire : utilisez le lien « Signaler un abus » en bas de la page concernée ou écrivez à [email protected] avec l'URL ou les en-têtes complets de l'e-mail. Nous examinons les signalements d'hameçonnage et de logiciels malveillants sous 24 heures et retirons les cas confirmés.
Revues de sécurité
Nous répondons aux questionnaires de sécurité (CAIQ, SIG Lite ou le vôtre) et pouvons partager sous NDA nos projets de politiques et le projet de rapport de conformité d'accessibilité (VPAT). Il n'existe pas encore de rapport de test d'intrusion ni d'audit ; le tableau ci-dessus indique où en est chacun. Écrivez à [email protected] ou [email protected].