Posture de sécurité
Ce que GuardLatice met en œuvre pour protéger la plateforme — mesures réelles, vérifiables par n'importe qui (inspectez les en-têtes HTTP de cette page).
Transport & navigateur
OK
HSTS preload (max-age 2 ans, includeSubDomains) — force HTTPS, empêche le downgrade.
OK
Content-Security-Policy stricte : default-src 'self', object-src 'none', frame-ancestors 'none', base-uri 'self', form-action 'self' — bloque scripts externes, embarquement d'objets, détournement de base/formulaire.
OK
X-Frame-Options: DENY + frame-ancestors — anti-clickjacking.
OK
X-Content-Type-Options: nosniff, Referrer-Policy, Permissions-Policy (géoloc/paiement/USB désactivés), COOP + CORP same-origin.
Authentification & sessions
OK
Mots de passe : PBKDF2-HMAC-SHA256, 120 000 itérations, sel unique par compte.
OK
Vérification en temps constant (hmac.compare_digest) — pas de fuite temporelle.
OK
Sessions signées HMAC-SHA256 avec secret de 256 bits (fichier en permissions 600) ; cookie HttpOnly + Secure + SameSite=Lax.
OK
Erreurs d'authentification génériques et à temps constant — impossible d'énumérer les comptes existants.
OK
Double authentification (2FA / TOTP) optionnelle — un second facteur (code à usage unique, RFC 6238) exigé à la connexion ; le mot de passe seul ne suffit plus.
Anti-abus, résilience & audit
OK
Journal d'audit inviolable : chaque connexion, échec, blocage CSRF et débit est scellé dans un registre chaîné par hachage — toute altération d'un événement passé est détectable (réservé aux administrateurs).
OK
Rate-limiting : 12 tentatives d'authentification / 5 min / IP ; 60 appels moteur / min / compte.
OK
Limite de taille de requête (8 Mo) — les corps surdimensionnés sont rejetés sans lecture en mémoire (anti-DoS).
OK
Anti-CSRF en profondeur : SameSite=Lax + contrôle d'Origine sur chaque écriture — toute requête POST d'une origine étrangère est refusée (403).
OK
Moteur cryptographique fail-closed : en cas de doute, l'accès est refusé par la cryptographie, pas par un simple drapeau.
Cryptographie
OK
Post-quantique de bout en bout : ML-KEM (Kyber) et ML-DSA (FIPS-204) résistants au quantique.
OK
Intégrité par SHA-256 sur chaque enregistrement ; toute altération d'un octet est détectée et rejetée à la lecture.
OK
Zéro dépendance de service tiers — souveraineté cryptographique complète.
Cartographie des contrôles — NIST 800-53 / 800-63B
Auto-évaluation honnête contre le catalogue de contrôles fédéral américain. Atteint = implémenté et vérifiable par le code · Partiel = présent mais perfectible · Externe = requiert un processus tiers, hors du code. Ce n'est pas une certification — c'est la reddition de comptes qu'un ingénieur sécurité produit avant d'en viser une.
| IA-2(1) | Authentification multifacteur 2FA / TOTP (RFC 6238) opt-in — second facteur exigé à la connexion. | Atteint |
| IA-5 | Gestion des authentifiants PBKDF2-SHA256 120k+sel ; erreurs génériques anti-énumération ; codes de récupération. | Atteint |
| AC-7 | Tentatives de connexion échouées Limitation de débit 12/5 min/IP + audit de chaque échec. | Atteint |
| AC-12 | Terminaison de session Sessions signées HMAC à expiration (Max-Age) ; déconnexion explicite. | Partiel |
| AU-2 / AU-3 | Journalisation des événements Chaque événement d'authentification, CSRF et débit est enregistré. | Atteint |
| AU-9 | Protection de l'information d'audit Journal chaîné par hachage — toute altération d'un événement passé est détectable. | Atteint |
| AU-10 | Non-répudiation L'état du journal d'audit est scellé par une signature ML-DSA post-quantique de l'autorité. | Atteint |
| SC-8 | Confidentialité en transit TLS + HSTS preload ; upgrade-insecure-requests. | Atteint |
| SC-13 | Protection cryptographique Cryptographie post-quantique (ML-KEM, ML-DSA, FIPS) ; CP-ABE. | Atteint |
| SC-23 | Authenticité de session Cookies HMAC HttpOnly+Secure+SameSite ; contrôle d'Origine anti-CSRF. | Atteint |
| SI-10 | Validation des entrées Échappement systématique ; plafond de taille de requête (anti-DoS). | Atteint |
| SI-7 | Intégrité logiciel & données SHA-256 par enregistrement ; corruption détectée et rejetée à la lecture. | Atteint |
| CA-8 | Test d'intrusion (pentest) Requiert un tiers indépendant — hors du périmètre du code. | Externe |
| CA-2 / SA-9 | Évaluation & certification (SOC 2 / ISO 27001) Audit et certification formels par un organisme externe. | Externe |
11 atteints · 1 partiel · 2 externes (audit / pentest / certification)
Divulgation responsable
Vous avez trouvé une faille ? Écrivez à security@guardlatice.com. Notre politique est publiée en security.txt (RFC 9116).
HONNÊTETÉ
Ces mesures relèvent d'un standard de diligence professionnel et sont toutes réelles et vérifiables. La plateforme n'a pas de certification formelle (SOC 2, ISO 27001) ni d'audit de sécurité externe à ce jour — nous le disons franchement plutôt que de le suggérer. Le durcissement continue.