Skyfense se trouve sur le chemin des requêtes de boutiques en ligne actives : protéger les données que nous traitons est donc au cœur du produit. Cette page décrit les mesures techniques et organisationnelles en place aujourd’hui, et dit honnêtement ce que nous renforçons encore.
1. Mesures en place aujourd’hui
2. Isolation des espaces de travail et des marchands
Chaque donnée est rattachée à l’espace de travail d’un marchand, et l’accès au tableau de bord et à l’API est limité à l’espace de travail de l’utilisateur connecté. L’isolation s’applique de la même façon aux visites, aux commandes, aux appareils et aux analyses détaillées.
3. Contrôles d’accès
L’accès à la base de données de production est restreint au niveau réseau par un pare-feu à liste d’autorisation, et l’accès administrateur aux serveurs est limité aux opérateurs autorisés. Les secrets de déploiement sont conservés dans un coffre chiffré plutôt que dans une configuration en clair. Au sein d’un espace de travail, Skyfense ne propose pas encore de rôles différenciés : tous les utilisateurs invités ont les mêmes accès. Le contrôle d’accès par rôle est prévu.
4. Journalisation et surveillance
Les changements administratifs dans un espace de travail sont enregistrés dans un journal d’audit (utilisateur, résumé et IP de la requête), et les services produisent des journaux de fonctionnement. Les entrées d’audit sont conçues pour ne contenir ni mot de passe ni donnée de paiement. Nous formalisons une surveillance de sécurité centralisée avec alertes.
5. Conservation et suppression des données
Les visites, événements de session, appareils, empreintes et commandes sont supprimés automatiquement une fois la durée de conservation choisie par le marchand dépassée (30, 90, 180, 365 ou 730 jours ; 365 par défaut). La désinstallation d’une boutique et les demandes d’effacement des données d’une boutique entraînent la suppression des données de ce marchand, y compris les utilisateurs du compte et le jeton d’accès Shopify enregistré. Voir notre politique de confidentialité pour le détail.
6. Gestion des vulnérabilités et des incidents
Nous maintenons nos dépendances à jour et appliquons les mises à jour de sécurité dans le cadre de la maintenance courante. Nous formalisons nos processus de gestion des vulnérabilités et de réponse aux incidents, avec un niveau de gravité documenté et des délais de notification des marchands. Si un incident touche des données de marchands, nous prévenons les marchands concernés dans les meilleurs délais.
7. Ce que nous renforçons
Nous pensons que les engagements de sécurité publiés doivent être exacts, alors nous disons clairement ce qui n’est pas encore en place. Les points suivants sont en cours et pas encore mis en œuvre comme cela peut être décrit ailleurs : chiffrement des données au repos au niveau du stockage, sauvegardes externes chiffrées avec restauration testée, contrôle d’accès par rôle dans les espaces de travail et audits formels par des tiers. Nous ne détenons pas de certification comme SOC 2 ou ISO 27001, et ne le prétendons pas.
8. Signaler une vulnérabilité
Si vous pensez avoir trouvé une faille de sécurité dans Skyfense, signalez-la à hello@skyfense.com. Nous soutenons la divulgation responsable et travaillerons avec vous pour examiner et corriger les signalements fondés.