Sécurité

Une adresse e-mail, un nom si vous en indiquez un, votre langue et votre fuseau horaire, l'heure et le navigateur (user agent) de votre dernière connexion, l'identifiant de votre compte Google si vous vous connectez avec Google, la liste des entreprises que vous surveillez, les règles que vous avez écrites, les destinations d'alertes que vous ajoutez — adresses e-mail, canaux Slack ou URL de webhook — et les adresses des personnes que vous invitez sur votre compte. Si un e-mail que nous envoyons est rejeté ou signalé comme spam, nous conservons aussi cette adresse et le motif, afin de ne plus y écrire. C'est tout l'inventaire des données clients. Le graphe lui-même est compilé à partir de déclarations publiques sur des entreprises et nous appartient, si bien qu'une compromission du jeu de données n'exposerait rien de vous qui ne soit déjà publié sur internet.

Nous ne voyons jamais de numéro de carte. Stripe héberge le formulaire de carte, les factures et le moyen de paiement lui-même ; nous ne recevons que l'offre et son statut.

• TLS en transit. Au repos, la base de données, les fichiers stockés et les sauvegardes se trouvent sur des volumes chiffrés intégralement, et les identifiants que le service conserve pour vous — secrets de webhook, jetons Slack, jetons de connexions partenaires — sont en plus chiffrés colonne par colonne.
• Application et données hébergées par Hetzner en Allemagne, dans l'Union européenne.
• L'accès à la production est réservé au fondateur. Chaque compte d'infrastructure exige une authentification multifacteur, les serveurs n'acceptent que des clés SSH, la console du personnel exige un second facteur TOTP, et toute personne ayant accès est liée par une obligation écrite de confidentialité.
• Connexion par lien magique ou « Se connecter avec Google », donc aucun mot de passe à réutiliser, à divulguer ou à vous soutirer par hameçonnage. Un lien de connexion ne sert qu'une fois, expire au bout de 15 minutes, n'est conservé que sous forme d'empreinte et exige un clic sur une page de confirmation — un scanner d'e-mails qui l'ouvre ne connecte donc personne.
• Sauvegardes automatiques des serveurs par Hetzner, conservées 7 jours.
• Analyse des dépendances et des vulnérabilités à chaque changement, les vulnérabilités activement exploitées étant corrigées en priorité absolue.
• Actions du personnel journalisées dans une piste d'audit en ajout seul, conservée 12 mois.

Le jeu de données du graphe se trouve derrière une interface interne à l'application, et le code qui sert votre compte n'y accède que par cette interface — un test d'architecture fait échouer la compilation si quoi que ce soit la contourne. C'est né d'une décision visant à garder le jeu de données portable, et cela a une conséquence de sécurité qui mérite d'être dite : une lecture du jeu de données ne porte aucun identifiant client, parce que l'interface n'a nulle part où en mettre un. Listes de surveillance, règles et inventaires vivent du côté application et référencent les entités par identifiant.

Ce produit est en libre-service uniquement, et c'est une contrainte permanente plutôt qu'une étape. Cela exclut le SSO d'entreprise et SAML, les rôles et permissions personnalisés ou granulaires, les espaces multi-clients, les contrats sur mesure et les questionnaires de sécurité remplis sur demande. La connexion se fait par lien magique ou « Se connecter avec Google » — une adresse vérifiée dans les deux cas, pas une intégration IdP. Des coéquipiers peuvent être invités sur un compte (propriétaire ou membre, avec un nombre de places limité selon l'offre), mais il n'y a pas de provisionnement par SSO ni de modèle de permissions personnalisé au-delà de ces deux rôles.

Nous ne sommes pas certifiés SOC 2 et nous ne sommes pas certifiés ISO 27001. Si votre processus achats exige l'un ou l'autre, nous ne convenons pas encore, et nous préférons que vous l'appreniez ici plutôt qu'après trois semaines d'e-mails.

Ce que nous offrons à la place, c'est une description courte et précise d'un petit système — cette page, le DPA et notre propre liste de sous-traitants — et la possibilité de résilier en un clic si nous cessons d'en valoir la peine.

Envoyez vos signalements de sécurité à security@nthparty.io. Nous accusons réception sous deux jours ouvrés, nous vous dirons ce que nous avons trouvé et quand c'est corrigé, et nous ne vous menacerons pas pour un signalement fait de bonne foi. Nous n'avons pas de budget de bug bounty et nous ne prétendrons pas le contraire.

L'état du service est publié sur status.nthparty.io, hébergé par Better Stack, et les maintenances planifiées y sont annoncées à l'avance. Les déclarations sont vérifiées chaque jour, à toutes les offres.