Aller au contenu

Confiance

Comment nous sécurisons Route Royal

Vos clients, vos affaires et vos documents vivent sur Route Royal : les protéger fait partie du produit. Voici comment nous nous y prenons, et ce que nous ne prétendons pas encore.

Parlez-nous de sécuritéSignaler une vulnérabilité

  1. Une requête de votre équipe

  2. HTTPSChiffrée en chemin
  3. ConnectéNous savons qui demande
  4. Votre organisationSes données, et elles seules
  5. AutorisationsAutorisé à faire ceci ?
  6. ValidéeChaque champ vérifié
  7. Vos donnéesAutorisé

Vérifiée à chaque arrêt, puis laissée passer.

Où nous en sommes

Conçu selon les normes, franc sur les certifications

Nous suivons les référentiels ci-dessous parce que ce sont de bonnes pratiques. Route Royal n’est pas certifié ISO 27001 et n’a pas fait l’objet d’un audit SOC 2. Le jour où cela changera, cette page le dira.

  • ISO/IEC 27001

    Nos politiques et mesures de sécurité suivent la norme ISO 27001 et son Annexe A : risques, accès, fournisseurs, exploitation, incidents et continuité.

    Appliqué, non certifié

  • SOC 2

    Nous travaillons selon les Trust Services Criteria de sécurité, de disponibilité et de confidentialité.

    Appliqué, non certifié

  • RGPD

    Nous traitons les données personnelles comme doit le faire un sous-traitant : uniquement sur vos instructions, dans le cadre d’un accord de traitement des données, et dans le respect des droits des personnes concernées.

    Appliqué, non certifié

  • OWASP Top 10

    Nous concevons la plateforme et son API pour parer aux risques les plus courants des applications web.

    Appliqué, non certifié

Principes

Six principes derrière chaque décision

  1. 01

    Moindre privilège

    Les personnes, les services et l’IA n’obtiennent que les accès dont leur tâche a besoin, et les perdent une fois la tâche terminée.

  2. 02

    Défense en profondeur

    Aucune mesure ne tient seule. Chiffrement, autorisations, validation et surveillance se relaient les uns les autres.

  3. 03

    Sécurisé par défaut

    Le réglage sûr est celui de départ : HTTPS partout, des clés stockées uniquement sous forme de hachage et des modifications de l’IA qui attendent votre accord.

  4. 04

    Protection des données dès la conception

    Les données de chaque organisation sont tenues à part, et nous ne collectons que ce dont le service a besoin pour fonctionner.

  5. 05

    L’humain décide

    Q prépare le travail, mais rien ne change tant que la personne qui le sollicite ne l’a pas confirmé.

  6. 06

    Transparence

    Nous disons ce que nous faisons et ce que nous ne faisons pas, et nous vous prévenons vite quand quelque chose tourne mal.

En pratique

Comment nous protégeons la plateforme

Les mesures derrière ces principes, domaine par domaine.

Sur cette page
  1. Infrastructure
  2. Chiffrement
  3. Sécurité applicative
  4. Notre équipe
  5. Développer et faire évoluer Route Royal
  6. Surveillance et réponse
  7. L’IA et vos données

Infrastructure

  • Route Royal fonctionne chez des fournisseurs cloud reconnus, dont les centres de données sont certifiés ISO 27001 et les services audités selon SOC 2 Type II.
  • La sécurité physique des centres de données, du contrôle des entrées à la surveillance 24 h/24, est assurée par ces fournisseurs et couverte par leurs audits.
  • Notre base de données tourne sur un service managé avec sauvegardes automatiques.
  • La production est séparée du développement et des tests, et nos services s’exécutent avec des comptes non privilégiés.

Chiffrement

  • Toute connexion à Route Royal passe par HTTPS, et les navigateurs ont pour consigne de ne jamais se connecter autrement (HSTS).
  • Les données sont chiffrées au repos par nos fournisseurs de base de données et de stockage.
  • Les identifiants que vous nous confiez pour des services connectés, comme votre jeton Sumsub, sont chiffrés avant d’être stockés.

Sécurité applicative

  • Les données de chaque organisation sont cloisonnées. Chaque requête est vérifiée au regard de l’organisation qu’elle vise et des autorisations de la personne qui l’envoie.
  • Les clés API ne sont stockées que sous forme de hachage, avec un court préfixe pour les distinguer. Les clés publiables sont en lecture seule ; les clés secrètes restent sur votre serveur.
  • Les webhooks sont signés avec un secret propre à chaque abonnement (HMAC-SHA256), pour que vous puissiez vérifier qu’ils viennent bien de nous.
  • Chaque requête est validée, le débit de l’API est limité et les navigateurs reçoivent des en-têtes de sécurité stricts, dont une politique de sécurité du contenu.

Essayez : ce que nous gardons d’une clé

Ce que nous stockons

Préfixe
sk_demo_…
Hachage SHA-256

Calculé dans votre navigateur : rien de ce que vous saisissez ne quitte cette page. Un hachage ne permet pas de retrouver la clé, si bien que même nous ne pouvons pas la lire.

Notre équipe

  • Notre personnel n’accède aux systèmes de production et aux données clients que lorsque son rôle l’exige, et ces accès sont revus, puis retirés dès qu’il ne l’exige plus.
  • Les comptes du personnel sont protégés par une authentification multifacteur.
  • Chaque membre de l’équipe signe un accord de confidentialité et suit une formation à la sécurité à son arrivée.
  • Nous ne consultons vos données que si vous nous le demandez dans le cadre du support, ou si nous y sommes tenus pour assurer la sécurité du service ou respecter la loi.

Développer et faire évoluer Route Royal

  • Les modifications sont relues et testées avant d’arriver en production.
  • Chaque build vérifie nos dépendances à la recherche de vulnérabilités connues, analyse le code et s’arrête en cas de problème critique. Un contrôle hebdomadaire repère les nouveaux avis de sécurité.
  • Nous ne copions pas de données clients dans les environnements de développement ou de test.

Surveillance et réponse

  • Nos services sont tracés et mesurés, et l’équipe est alertée dès que quelque chose semble anormal.
  • Chaque connexion est inscrite dans l’historique de connexion de la personne, et les modifications d’authentification unique, de synchronisation d’annuaire et de réservations dans le journal d’audit de votre organisation.
  • Face à un incident, nous le circonscrivons, corrigeons sa cause et tirons les leçons de ce qui s’est passé. S’il touche vos données, nous vous en informons dans les meilleurs délais, avec ce que nous savons, pour que vous puissiez remplir vos propres obligations.

L’IA et vos données

  • Q agit en tant que la personne qui le sollicite, dans la limite de ses autorisations, et chaque modification qu’il apporte attend sa confirmation.
  • Claude et ChatGPT, connectés via MCP, n’ont que les autorisations de la personne qui les a connectés, et n’accèdent aux données d’un client que via une délégation de service active.

Essayez : Q a préparé une modification

Passer 3 affaires de « Proposition » à « Gagné »

De votre côté

La sécurité entre vos mains

La sécurité est une responsabilité partagée. Voici les réglages que votre organisation décide elle-même.

Sécurité et conformité

Connexion à deux facteurs, authentification unique et synchronisation d’annuaire, rôles, délégations de service et journal d’audit.

IA et Q

Ce que Q peut faire, et la façon dont Claude et ChatGPT se connectent, dans la limite des autorisations de chacun.

Développeurs

Clés publiables et secrètes, clés API à portée limitée et webhooks signés pour vos propres développements.

Divulgation responsable

Vous avez trouvé une vulnérabilité ?

Écrivez-nous à security@routeroyal.com. Indiquez ce que vous avez trouvé, comment le reproduire et ce que cela pourrait affecter. Nous vous répondrons, vous tiendrons au courant pendant la correction et vous citerons si vous le souhaitez.

security@routeroyal.com

Pendant vos recherches, merci de

  • tester uniquement avec votre propre compte et vos propres données
  • ne jamais lire, modifier ni supprimer les données d’autrui
  • ne pas dégrader le service, ne pas envoyer de spam et ne pas chercher à tromper nos équipes
  • nous laisser un délai raisonnable pour corriger le problème avant de le divulguer

Questions

Ce que nous demandent les équipes sécurité

Route Royal est-il certifié ISO 27001 ou SOC 2 ?

Pas encore. Nous suivons la norme ISO 27001 et les Trust Services Criteria de SOC 2, mais nous n’avons ni certificat ni rapport d’audit à partager. Nos fournisseurs d’hébergement et de base de données sont eux-mêmes certifiés et audités.

Où nos données sont-elles hébergées ?

Chez des fournisseurs cloud reconnus, dont les centres de données sont certifiés ISO 27001 et audités selon SOC 2. Les sociétés qui traitent vos données figurent dans notre liste de sous-traitants ultérieurs, et nous pouvons la passer en revue avec vous lors d’une revue de sécurité.

Remplirez-vous notre questionnaire de sécurité ?

Oui. Envoyez-le à security@routeroyal.com et nous y répondrons, ou nous présenterons nos mesures de sécurité à votre équipe lors d’un appel.

Que se passe-t-il en cas d’incident de sécurité ?

Nous le circonscrivons, corrigeons sa cause et analysons ce qui s’est passé. S’il touche vos données, nous vous en informons dans les meilleurs délais, avec ce que nous savons à ce stade, pour que vous puissiez remplir vos propres obligations, comme les 72 heures que le RGPD accorde pour notifier l’autorité de contrôle.

Comment sécuriser notre propre organisation ?

Activez la connexion à deux facteurs, connectez l’authentification unique et la synchronisation d’annuaire, donnez à chacun le rôle dont son travail a besoin et consultez le journal d’audit. Sécurité et conformité vous montre comment.

Documents

Les documents de référence

Posez-nous vos questions

Tout ce que vous voulez savoir sur la sécurité

Vous évaluez Route Royal pour votre entreprise, ou vous avez trouvé quelque chose à corriger ? Chaque cas a son chemin, et les deux arrivent directement chez nous.

Revues de sécurité

Vous menez une revue de sécurité ?

Votre questionnaire

  1. Où nos données sont-elles hébergées ?
  2. Qui peut voir nos données ?
  3. Que se passe-t-il en cas d’incident ?
  1. Nous y répondons
  2. Ou nous présentons nos mesures de sécurité à votre équipe lors d’un appel
Parlez-nous de sécurité

Envoyez-nous votre questionnaire

Divulgation responsable

Vous avez trouvé une vulnérabilité ?

Votre signalement

  1. Ce que vous avez trouvé
  2. Comment le reproduire
  3. Ce que cela pourrait affecter
  1. Nous vous répondons
  2. Nous vous tenons au courant pendant la correction
  3. Nous vous citons, si vous le souhaitez
security@routeroyal.com

Rédiger un signalementsecurity.txt