Sécurité

La sécurité est au cœur de la manière dont nous concevons et exploitons CrunchJunkie. Les mesures décrites ci-dessous sont maintenues en continu et revues au moins une fois par an.

Toutes les données en transit sont chiffrées avec TLS 1.2 ou supérieur, avec HSTS appliqué. Les clés d'API d'IA et les jetons d'accès/d'actualisation OAuth sont chiffrés en AES-256-GCM au niveau applicatif avant stockage ; la base de données est en outre chiffrée au repos par notre fournisseur d'infrastructure. Les mots de passe sont hachés avec bcrypt (facteur de coût 12) et jamais stockés en clair.

Chaque requête de base de données de la plateforme est limitée à l'identifiant de l'équipe de l'utilisateur authentifié au niveau applicatif. L'accès aux données d'autres locataires est empêché par l'architecture — il n'est pas possible que les données d'une organisation soient consultées par une autre.

L'accès à la base de données et à l'infrastructure de production est limité à un ensemble minimal de personnes autorisées. L'authentification multifacteur (MFA) est obligatoire pour tout accès à la production. Les événements d'accès sont journalisés et revus périodiquement. Les droits d'accès sont révoqués sans délai en cas de changement de personnel.

Les points d'accès d'authentification et les routes d'API sensibles sont limités en débit par IP pour se protéger du bourrage d'identifiants et des attaques par force brute. Depuis septembre 2026, les compteurs sont conservés dans un magasin partagé dans l'UE (Francfort), de sorte que la limite s'applique à toutes les instances de l'application ; les compteurs expirent en quelques minutes. La protection CSRF est appliquée à toutes les opérations qui modifient l'état.

Le calcul et le stockage de fichiers de la plateforme s'exécutent chez Vercel dans l'UE (Francfort) ; la base de données s'exécute sur le service PostgreSQL géré de Neon, également dans l'UE (Francfort). Les deux fournisseurs maintiennent leurs propres certifications de sécurité et DPA.

Nous maintenons un processus documenté de réponse aux incidents. En cas de violation de données à caractère personnel affectant des données de clients, nous informerons les clients concernés dans les 72 heures suivant la découverte, comme l'exige l'art. 33 du RGPD.

Si vous découvrez une faille de sécurité, veuillez la signaler de manière responsable à hello@crunchjunkie.io avec l'objet « Security Report ». Nous nous engageons à : • accuser réception de votre signalement dans les 48 heures ; • viser la résolution des failles critiques dans les 72 heures ; • vous tenir informé de nos progrès. Veuillez ne pas divulguer publiquement le problème avant que nous ayons eu une possibilité raisonnable d'y remédier. Nous n'exploitons actuellement pas de programme de bug bounty, mais nous apprécions profondément les divulgations responsables.