Accueil / Sécurité et protection des données
Sécurité et protection des données
Votre documentation de conformité décrit où votre entreprise est vulnérable. Vous voyez ici comment Complass protège ces données, qui peut faire quoi, et comment vous gardez vous-même le contrôle.
Contenu
- Connexion et accès
- Aucun accès des administrateurs sans votre autorisation
- Chiffrement
- Backups chiffrés
- Hébergement et exploitation
- Sécurité des applications
- Toutes les modifications sont traçables
- Protection et maîtrise des données
- Données de vulnérabilités sans fuite de données
- Transparence
- Ce que nous ne faisons délibérément pas
- Détails techniques
Cinq couches entre Internet et vos données
- 1
Connexion chiffrée et en-têtes de sécurité
Le portail n’est accessible que via HTTPS, et les navigateurs le mémorisent pendant un an (HSTS). Une politique de sécurité du contenu stricte n’autorise que les scripts, styles et polices provenant de notre propre serveur, et le portail ne peut pas être intégré dans d’autres sites web.
- 2
Connexion avec mot de passe et MFA
Chaque personne se connecte avec un mot de passe et un code issu de son application d’authentification. La connexion avec MFA est obligatoire pour tous, y compris pour nos propres administrateurs.
- 3
Rôles et droits d’accès granulaires
Administrateur, éditeur ou lecture seule, éventuellement limité à certains projets en « lecture » ou « modification ». Vos administrateurs définissent en outre aucun accès, lecture ou écriture par personne et par domaine (référentiel, module, élément de menu), ainsi que des droits spéciaux comme l’export, la suppression ou l’approbation. Les modifications prennent effet immédiatement et sont journalisées.
- 4
Séparation stricte des clients
À chaque accès, le serveur vérifie si le projet appartient à votre entreprise. Du point de vue du portail, les projets des autres entreprises n’existent tout simplement pas : la réponse est « introuvable ».
- 5
Fichiers de preuve chiffrés
Les preuves téléversées sont chiffrées avec une clé distincte par client et stockées en dehors du répertoire accessible publiquement. Seules les personnes autorisées à voir le projet peuvent les télécharger.
Nos mesures en détail
Connexion et accès
Le serveur décide à chaque requête qui peut entrer et ce que cette personne peut faire.
- MFA obligatoire
- Passkeys
- Connexion avec compte d’entreprise (SSO)
- Mots de passe avec Argon2id
- Verrouillage progressif du compte
- Rate Limiting et blocage par IP
- Avis en cas de nouvel appareil
- Expiration de session
- Nouvelle confirmation avant les actions sensibles
- Rôles et droits d’accès granulaires
- Profils de rôle
- Principe des quatre yeux
- Séparation des clients
- Accès fournisseur
Afficher toutes les mesures de ce domaine (14)
MFA obligatoire
Mot de passe et code de l’application d’authentification, ou une passkey qui couvre les deux facteurs, pour chaque personne, y compris pour nos administrateurs.
Passkeys
Connexion par empreinte digitale, Face ID, Windows Hello ou clé de sécurité. Une passkey couvre les deux facteurs ; le mot de passe et l’application d’authentification restent disponibles en solution de repli.
Connexion avec compte d’entreprise (SSO)
Connexion via votre fournisseur d’identité (OpenID Connect avec PKCE), p. ex. Microsoft Entra ID, Google Workspace, Okta ou Keycloak. Vos administrateurs peuvent rendre le SSO obligatoire pour votre entreprise.
Mots de passe avec Argon2id
Au moins 12 caractères, stockés uniquement sous forme de hachage Argon2id.
Verrouillage progressif du compte
Verrouillage après des échecs répétés, de plus en plus long en cas de nouvelles tentatives : 15 minutes, 1 heure, 24 heures.
Rate Limiting et blocage par IP
Les tentatives de connexion par adresse IP sont limitées ; en cas de schémas d’attaque, l’adresse est bloquée et l’exploitation est alertée.
Avis en cas de nouvel appareil
Lorsqu’une personne se connecte depuis un nouvel appareil, elle reçoit un e-mail.
Expiration de session
Déconnexion après 30 minutes d’inactivité, au plus tard après 10 heures (par défaut ; par entreprise de 10 à 60 minutes ou de 4 à 12 heures).
Nouvelle confirmation avant les actions sensibles
Pour les actions particulièrement sensibles, Complass exige une confirmation récente avec un code d’application ou une passkey (« step-up »), y compris au sein d’une session en cours.
Rôles et droits d’accès granulaires
Aucun accès, lecture ou écriture par personne et par domaine, ainsi que des droits spéciaux, éventuellement limités dans le temps.
Profils de rôle
Des profils de rôle prédéfinis comme « Auditeur externe » peuvent être repris et adaptés à votre entreprise par vos administrateurs.
Principe des quatre yeux
Vos administrateurs peuvent configurer le principe des quatre yeux pour les acceptations de risques et les validations de documents. Les interventions de Complass dans vos données (p. ex. réinitialiser le mot de passe et la MFA, modifier une adresse e-mail, supprimer définitivement un projet) n’ont lieu chez nous qu’après validation par une deuxième personne.
Séparation des clients
Chaque requête est limitée à votre entreprise ; les autres objets sont « introuvables ».
Accès fournisseur
Les fournisseurs ne voient que les questionnaires et preuves qui leur sont attribués ; la séparation est testée automatiquement.
Qui peut faire quoi ?
Les rôles définissent ce que l’on peut faire par principe. Vous pouvez en outre limiter les éditeurs et les lecteurs à certains projets et définir « lecture » ou « modification » par projet, jamais au-delà de ce que permet le rôle.
Afficher le tableau des rôles et des droits
| Rôle | Consulter les projets | Modifier le contenu | Approuver les documents | Créer des projets | Gérer l’équipe | Exporter | Supprimer des projets |
|---|---|---|---|---|---|---|---|
| Administrateur | tous | oui | oui | oui | oui | oui | oui1 |
| Éditeur | tous ou sélectionnés | oui2 | non | oui3 | non | oui | non |
| Lecture seule | tous ou sélectionnés | non | non | non | non | oui | non |
| Auditeur« lecture seule » avec date d’expiration | sélectionnés, jusqu’à la date d’expiration | non | non | non | non | oui | non |
| Consultant Complassuniquement avec votre autorisation | tous, pendant la durée de l’autorisation | oui | non | non | non | oui | non |
- Dans la corbeille, restaurable pendant 30 jours ; uniquement après avoir saisi le nom du projet.
- Dans tous les projets ou uniquement ceux définis en « modification ».
- Uniquement avec accès à tous les projets.
La modification nécessite une licence valide ; après la fin de la licence, la consultation et l’export restent possibles. Le dernier administrateur d’une entreprise ne peut pas être rétrogradé, de sorte que votre équipe n’est jamais laissée sans personne pour la gérer.
Le tableau présente les valeurs par défaut des rôles. Sous « Droits d’accès », vos administrateurs ajustent les droits par personne de façon granulaire : par domaine (chaque référentiel, chaque module, chaque élément de menu), aucun accès, lecture ou écriture, ainsi que des droits spéciaux comme l’export (également par domaine), la suppression, l’approbation de documents, la transmission d’étapes de notification, l’import d’actifs, l’invitation de personnes et la gestion des droits d’accès, éventuellement limités dans le temps et via des profils de rôle. La règle la plus stricte s’applique toujours ; la lecture seule n’écrit jamais. Les éléments de menu sans droit sont masqués, et le serveur rejette les requêtes directes. Des personnes peuvent aussi être invitées sur un seul objet (par exemple une tâche ou un document) pour commenter ou co-éditer sans recevoir d’autres droits. Vous exportez la matrice des droits filtrée comme preuve (Excel, CSV, PDF).
Aucun accès des administrateurs sans votre autorisation
Dans l’interface utilisateur, les administrateurs Complass ne voient que des données administratives comme l’entreprise, les modules réservés et le nombre d’utilisateurs. Un accès à vos contenus n’est possible qu’avec votre autorisation explicite et limitée dans le temps.
- Actifs, incidents, vulnérabilités, tâches
- Projets uniquement avec l’autorisation du consultant
- Accès d’urgence uniquement avec votre autorisation
- Pièces jointes de l’assistance uniquement après approbation
- Session d’assistance uniquement avec autorisation
- Visible et interruptible à tout moment
- Rôles distincts chez Complass
Afficher toutes les mesures de ce domaine (7)
Actifs, incidents, vulnérabilités, tâches
Inaccessibles aux administrateurs Complass dans l’interface utilisateur.
Projets uniquement avec l’autorisation du consultant
Nos consultants ne voient les projets, documents et justificatifs que si votre administrateur accorde l’accès consultant. Chaque session au cours de laquelle un consultant ouvre un projet figure dans votre journal, avec le type d’accès.
Accès d’urgence uniquement avec votre autorisation
Uniquement si vous l’avez autorisé au préalable, avec justification et approbation d’une seconde personne, 60 minutes au maximum, en lecture seule, dans le journal et avec un e-mail immédiat à vos administrateurs.
Pièces jointes de l’assistance uniquement après approbation
Nous ne voyons les pièces jointes d’un ticket d’assistance qu’une fois que votre administrateur a approuvé le ticket.
Session d’assistance uniquement avec autorisation
La personne concernée autorise la session, limitée à 30, 60 ou 120 minutes, en lecture seule par défaut et sans fichiers ni export. L’accès en écriture nécessite en plus l’accord de votre administrateur.
Visible et interruptible à tout moment
Une bannière affiche « session d’assistance active » et vous pouvez y mettre fin à tout moment. Chaque consultation de page est journalisée, et Complass a en outre besoin de la MFA pour la session.
Rôles distincts chez Complass
Les rôles sont séparés en interne, par exemple ingénierie, vente et finances : les collaborateurs ne voient que ce dont ils ont besoin pour leur mission.
Chiffrement
Data in Transit et Data at Rest.
- Data in Transit
- Fichiers de preuve par client
- Secrets et codes MFA
Afficher toutes les mesures de ce domaine (3)
Data in Transit
HTTPS uniquement, HSTS pendant un an, sous-domaines compris.
Fichiers de preuve par client
Chiffrés avec une clé distincte par client (XChaCha20-Poly1305), en dehors du répertoire public.
Secrets et codes MFA
Secrets MFA chiffrés, liens d’invitation et codes de récupération stockés uniquement sous forme de HMAC.
Backups chiffrés
Un backup ne vaut que par sa protection. C’est pourquoi même une personne ayant accès au serveur ne peut pas lire les backups de la base de données.
- Quotidienne
- Chiffrées avec une clé publique
- Clé privée absente du serveur
- Les fichiers de preuve restent chiffrés
- Toute altération est détectée
- Jusqu’à 60 jours et restauration ciblée
- Copie hors du serveur
Afficher toutes les mesures de ce domaine (7)
Quotidienne
Backup quotidien de la base de données et de tous les fichiers de preuve.
Chiffrées avec une clé publique
Le backup de la base de données est chiffré avec libsodium (XChaCha20-Poly1305) pour une clé publique.
Clé privée absente du serveur
Nous conservons la clé privée de déchiffrement uniquement hors ligne.
Les fichiers de preuve restent chiffrés
Les fichiers de preuve sont sauvegardés sous leur forme chiffrée (clé par client).
Toute altération est détectée
Les backups modifiés ou endommagés sont détectés lors de la restauration et ne sont pas appliqués.
Jusqu’à 60 jours et restauration ciblée
Les 30 derniers backups quotidiens restent sur le serveur ; hors du serveur s’y ajoutent des états quotidiens qui ne peuvent pas être supprimés depuis le serveur, ainsi qu’une copie mensuelle hors ligne. Chaque backup est supprimé ou écrasé au plus tard après 60 jours ; des projets individuels peuvent être restaurés de manière sélective sous forme de copie.
Copie hors du serveur
Une copie chiffrée de chaque backup est en outre conservée hors du serveur dans un centre de données en Allemagne.
Hébergement et exploitation
Où Complass fonctionne et comment nous surveillons l’exploitation.
- Hébergé en Allemagne
- Monitoring
- Rapport d’exploitation quotidien
- Disponibilité vérifiable de l’extérieur
- Seul le point d’entrée est public
Afficher toutes les mesures de ce domaine (5)
Hébergé en Allemagne
Chez Hetzner Online GmbH, dans des centres de données en Allemagne, avec un contrat de sous-traitance.
Monitoring
Backups, tâches cron, stockage, données de vulnérabilités, envoi d’e-mails, erreurs serveur et temps de réponse sont contrôlés en continu ; Complass est alerté automatiquement en cas d’anomalie.
Rapport d’exploitation quotidien
Complass reçoit chaque jour un rapport sur l’état de l’exploitation, sans contenu client.
Disponibilité vérifiable de l’extérieur
Une adresse d’état sans données clients permet un monitoring de la disponibilité depuis l’extérieur ; un monitoring externe est en cours de mise en place.
Seul le point d’entrée est public
Base de données, preuves, backups et code du programme sont inaccessibles depuis le web.
Sécurité des applications
Protection contre les attaques typiques visant les applications web.
- Politique de sécurité du contenu
- En-têtes de sécurité et protection CSRF
- Contrôle des téléversements
- Traitement XML sécurisé
- Captures réseau uniquement dans le navigateur
- Scans de sécurité automatiques
- OWASP ASVS 5.0
Afficher toutes les mesures de ce domaine (7)
Politique de sécurité du contenu
Uniquement des scripts, styles et polices provenant de notre propre serveur, pas de scripts en ligne, pas d’intégration dans d’autres sites.
En-têtes de sécurité et protection CSRF
En-têtes de sécurité sur chaque réponse, token CSRF pour chaque modification.
Contrôle des téléversements
Les fichiers téléversés sont vérifiés d’après leur extension et leur contenu réel ; seuls les types autorisés sont acceptés.
Traitement XML sécurisé
Imports XML (par exemple Nmap, scanners, Excel) sans chargement de ressources externes et sans résolution d’entités externes.
Captures réseau uniquement dans le navigateur
Les fichiers PCAP sont analysés dans le navigateur et ne sont pas téléversés.
Scans de sécurité automatiques
À chaque modification du code : analyse statique du code, recherche de secrets enregistrés par inadvertance, contrôle de tous les composants tiers à la recherche de vulnérabilités connues, une nomenclature logicielle (SBOM) et un scan dynamique de l’application en cours d’exécution.
OWASP ASVS 5.0
OWASP ASVS 5.0 : niveau 1 98 % · niveau 2 93 % · niveau 3 85 % (auto-évaluation, état au 21.10.2026). Une exception justifiée, présentée ouvertement.
Toutes les modifications sont traçables
Pour vos preuves d’audit : qui a modifié quoi et quand.
- Historique des modifications par objet
- Versions avec approbation
- Historique des commentaires
- Export d’audit
- Journal d’audit client
- Journal d’audit à intégrité vérifiable
Afficher toutes les mesures de ce domaine (6)
Historique des modifications par objet
Qui, quand, ancienne et nouvelle valeur, p. ex. sur les entrées du catalogue, les tâches et les phases.
Versions avec approbation
Les versions antérieures des documents avec approbation (nom, date) et les versions des fichiers de preuve restent disponibles.
Historique des commentaires
Les commentaires modifiés conservent leurs versions antérieures ; les commentaires retirés et masqués sont conservés.
Export d’audit
Un paquet chiffré pour les audits internes et externes : projets, documents, preuves, registres et journal, uniquement dans la limite des droits de lecture de la personne qui le demande. Elle reçoit le lien de téléchargement par e-mail. Un manifeste avec sommes de contrôle atteste que le paquet est inchangé ; vous le vérifiez dans le portail.
Journal d’audit client
Connexions, exports, modifications de droits, suppressions et autres actions importantes, filtrables et exportables par vos administrateurs.
Journal d’audit à intégrité vérifiable
Chaque entrée de votre journal d’audit client et des événements de sécurité est reliée à la précédente par une chaîne de hachage (HMAC-SHA-256) ; les modifications ou suppressions deviennent visibles lors de la vérification. Vous voyez l’état de la vérification (dernière vérification, valeur de contrôle) dans le journal d’audit client et dans l’export.
Protection et maîtrise des données
Vos données vous appartiennent.
- Aucun traceur publicitaire
- Durées de conservation
- Export à tout moment, sans dépendance
- Changement de fournisseur sans frais
- Accès en lecture après la fin du contrat
- Suppression des données sur demande
Afficher toutes les mesures de ce domaine (6)
Aucun traceur publicitaire
Aucun outil de suivi ou d’analyse, ni police ou script externe dans l’espace client ; sur le site public, statistiques de visite sans cookies (Plausible, UE) ; uniquement des cookies techniquement nécessaires : la session et, si vous choisissez une langue, votre langue.
Durées de conservation
Les adresses IP figurant dans le journal sont raccourcies après 90 jours, les entrées du journal supprimées après 24 mois, les demandes de prospects après 12 mois.
Export à tout moment, sans dépendance
Documents, tableaux, rapports et dossier de conformité avec tous les fichiers de preuve exportables à tout moment.
Changement de fournisseur sans frais
Passage à un autre fournisseur ou à votre propre système avec des délais fixes et export des données de votre entreprise dans des formats ouverts. La page « Changement de fournisseur et export des données » décrit la procédure et les formats.
Accès en lecture après la fin du contrat
Après la fin du contrat, vos contenus restent consultables et exportables ; seule la modification est verrouillée.
Suppression des données sur demande
Dans le portail : d’abord l’export, puis confirmation par mot de passe, MFA, nom de l’entreprise et e-mail, délai d’attente de 7 jours, confirmation de suppression au format PDF.
Données de vulnérabilités sans fuite de données
Le rapprochement avec les données publiques sur les vulnérabilités s’effectue sur notre serveur.
- Copie miroir des sources publiques
- Aucune donnée client envoyée à l’extérieur
Afficher toutes les mesures de ce domaine (2)
Copie miroir des sources publiques
NVD, CISA KEV, EPSS et ENISA EUVD sont téléchargés sur le serveur.
Aucune donnée client envoyée à l’extérieur
Les informations de votre inventaire des actifs ne sont pas envoyées à des services externes pour le rapprochement.
Transparence
Ce que nous utilisons, comment nous faisons évoluer Complass et comment vous pouvez nous signaler des failles de sécurité.
- Sous-traitants
- Assistance via votre administrateur
- Historique des versions
- Signaler une vulnérabilité
- Contenus avec assistance de l’IA
Afficher toutes les mesures de ce domaine (5)
Sous-traitants
Pour les contenus que vous saisissez dans le portail, nous faisons appel à Hetzner Online GmbH (hébergement). Avec le module complémentaire « Alerte par SMS et appel », sms77 io GmbH (seven.io) intervient pour le numéro de téléphone et le texte d’alerte.
Assistance via votre administrateur
Les bogues, demandes et questions nous parviennent regroupés via votre administrateur. Vous voyez le statut et les réponses dans le ticket, jusqu’à « résolu dans la version … ». Vous ne voyez jamais les tickets des autres clients, et inversement.
Historique des versions
Les changements sont listés par version sous « Nouveautés ».
Signaler une vulnérabilité
Veuillez envoyer les signalements de failles de sécurité à security@complass.de ; contact également sous /.well-known/security.txt.
Contenus avec assistance de l’IA
Les contenus sont créés avec l’aide de l’IA et vérifiés par rapport aux textes originaux par nos spécialistes.
Que se passe-t-il si … ?
La sécurité se voit dans les situations du quotidien. Ces cas surviennent dans toutes les entreprises, et voici comment Complass les traite.
… un mot de passe tombe entre de mauvaises mains ?
Sans le code de l’application d’authentification, personne n’entre. Après 5 mots de passe erronés, la connexion par mot de passe est bloquée depuis ce réseau ; après 5 codes erronés, c’est le compte entier, d’abord pendant 15 minutes, puis plus longtemps en cas de nouveau blocage dans un délai de 24 heures. Ainsi, quelqu’un qui ne connaît que votre adresse e-mail ne peut pas vous bloquer l’accès. La personne concernée et vos administrateurs reçoivent un e-mail lors d’un blocage. Si quelqu’un se connecte depuis un nouvel appareil, la personne en est également informée par e-mail. Les échecs de connexion apparaissent dans votre journal d’audit.
… une personne quitte l’entreprise ?
Votre administrateur désactive le compte sous « Équipe et accès ». Toutes les sessions ouvertes de cette personne prennent fin immédiatement, et la connexion n’est plus possible. La place dans votre quota d’utilisateurs est de nouveau libre.
… quelqu’un laisse le navigateur ouvert ?
Après 30 minutes sans activité, le portail vous déconnecte automatiquement ; au plus tard après 10 heures, une nouvelle connexion avec MFA est nécessaire. Les administrateurs d’une entreprise peuvent choisir pour cela de 10 à 60 minutes et de 4 à 12 heures. Chaque personne voit ses sessions actives et peut déconnecter d’autres appareils.
… le téléphone avec l’application est perdu ?
Avec votre clé de récupération, vous vous connectez une seule fois et configurez aussitôt une nouvelle application. Sans clé, votre administrateur réinitialise la connexion avec MFA sur demande ; le mot de passe est conservé, les sessions précédentes expirent.
Afficher d’autres cas (5)
… un auditeur a besoin d’un accès en consultation ?
Créez un compte avec le rôle « lecture seule », limité au projet concerné et assorti d’une date d’expiration. Passé cette date, la connexion n’est plus possible, sans que personne n’ait à y penser.
… Complass doit vous assister ?
Nos consultants ne voient vos projets que lorsque votre administrateur accorde l’accès consultant, pour 90 jours au maximum à chaque fois. Chaque session au cours de laquelle un consultant ouvre un projet figure dans votre journal, et l’autorisation peut être retirée en un clic. Un accès d’urgence n’existe que si votre entreprise l’a autorisé au préalable : avec une nouvelle connexion, l’approbation d’une seconde personne de notre équipe, 60 minutes au maximum et en lecture seule ; vos administrateurs sont informés immédiatement par e-mail. Lorsque notre équipe réinitialise l’accès d’une personne (mot de passe et connexion MFA), modifie son adresse e-mail ou supprime définitivement un projet, cela n’a lieu qu’après approbation d’une seconde personne de notre équipe, et vos administrateurs en sont informés par e-mail. Le lien de reconfiguration est envoyé à la personne elle-même par e-mail ; notre équipe ne le voit jamais. Cela vaut aussi pour les spécialistes que Complass mandate pour des missions ponctuelles : ils travaillent pour le compte de Complass et uniquement via l’accès consultant que vous avez autorisé.
… Complass doit voir votre vue pour vous aider ?
Vous gardez le contrôle des accès du support : notre support ne voit ce que vous voyez qu’avec votre autorisation, que vous accordez vous-même dans le ticket ou sous « Mon compte ». Elle est limitée dans le temps (de 30 minutes à 2 heures), en lecture seule par défaut, sans fichiers ni export, et vous pouvez y mettre fin à tout moment en un clic. Votre page de compte, le mot de passe et la connexion avec MFA, l’équipe, les droits et l’abonnement restent verrouillés. Vous et vos administrateurs êtes informés du démarrage, et chaque consultation de page figure dans votre journal d’audit. Même avec un accès en écriture, le support ne peut accorder ni validations, ni releases, ni réceptions, ni acceptations de risques, ni prises de connaissance ; ce qu’il crée ou modifie est signalé dans l’historique par « créé dans le support par … ».
… un projet est supprimé par erreur ?
Seuls les administrateurs (ou les personnes auxquelles vos administrateurs accordent le droit « supprimer ») peuvent supprimer, et uniquement après avoir saisi le nom du projet et confirmé avec le code actuel de l’application ou une passkey. Le projet reste ensuite 30 jours dans la corbeille et peut être restauré en un clic. Les versions antérieures des documents et des listes de contrôle sont conservées, et un backup quotidien s’y ajoute.
… la licence prend fin ?
Vos projets restent consultables et exportables ; seule la modification est verrouillée. Le dossier de conformité sous forme de fichier ZIP contient documents, tableaux, rapports et tous les fichiers de preuve avec sommes de contrôle.
Ce que nous ne faisons délibérément pas
- Aucun traceur publicitaire, aucune analyse dans l’espace client
- Aucune vente ni cession de vos données
- Aucun entraînement d’IA avec vos données
- Aucun outil de prise de contrôle à distance tiers
Vous trouverez des détails sur le traitement des données à caractère personnel dans la politique de confidentialité.
Détails techniques pour votre informatique
Pour la direction informatique et les responsables de la sécurité de l’information : les mesures en détail.
Connexion et mots de passe
- Mots de passe d’au moins 12 caractères ; sont notamment refusés les mots de passe qui contiennent l’adresse e-mail, le nom de la personne ou le nom de l’entreprise, dont la structure est trop simple, qui figurent parmi les plus répandus ou qui sont apparus dans des fuites de données connues.
- Pour la vérification des fuites de données, seuls les 5 premiers caractères d’une empreinte du mot de passe quittent le serveur (k-anonymat) ; le mot de passe lui-même n’est jamais transmis.
- Message d’erreur uniforme et temps de réponse égalisé, afin qu’il soit impossible de déterminer si une adresse e-mail est enregistrée.
- Blocage progressif après 5 tentatives échouées (15 min, 1 h, 1 jour ; le compteur expire après 24 heures sans échec) : les mots de passe erronés ne bloquent que la connexion par mot de passe depuis le réseau d’où ils proviennent, les codes erronés bloquent le compte entier. S’y ajoute un Rate Limiting de 30 tentatives de connexion par adresse IP en 15 minutes, également pour les passkeys.
- Les accès ne sont créés que par des liens d’invitation : valables 72 heures, utilisables une seule fois, même en cas d’appels simultanés.
- Les connexions sortantes (Egress), par exemple vers le fournisseur de la connexion avec compte d’entreprise ou vers les avis de sécurité des fabricants, ne passent que par https vers des adresses publiques ; les redirections sont vérifiées une à une. Les réseaux internes du centre de données ne sont ainsi pas accessibles.
Protection contre les attaques sur la connexion
- Blocage progressif : après 5 mots de passe erronés, la connexion par mot de passe depuis ce réseau est bloquée pendant 15 minutes, après 5 codes erronés, c’est le compte entier ; en cas de nouveau blocage dans un délai de 24 heures, il s’allonge par paliers (15 min, 1 h, 1 jour). Une connexion réussie remet le compteur à zéro. Dans une session ouverte aussi, les mots de passe et codes erronés sont comptés ; après 5 tentatives échouées, la session prend fin.
- Rate Limiting par connexion : au maximum 30 tentatives de connexion par adresse IP en 15 minutes ; après des échecs répétés, la connexion répond avec un délai (jusqu’à 2 secondes). De nombreux échecs répartis sur de nombreuses adresses différentes issues d’une même connexion la bloquent temporairement.
- Même message et même temps de réponse pour une adresse inconnue, un mot de passe erroné et un compte verrouillé : de l’extérieur, il est impossible de déterminer si un compte existe ou est verrouillé.
- Notification : lorsqu’un compte est verrouillé, la personne et les administrateurs de votre entreprise reçoivent un e-mail ; les administrateurs peuvent lever le verrouillage. Lorsqu’une personne se connecte depuis un appareil jusque-là inconnu, elle reçoit un e-mail (désactivable sous « Mon compte »). Un appareil connu est reconnu grâce à un cookie d’appareil signé, même si son adresse IP change, sinon de manière approximative par le navigateur, le système d’exploitation et la plage réseau, sans service de géolocalisation.
- Alerte de l’exploitation : les tentatives échouées, verrouillages, blocages d’IP et requêtes vers des cibles d’attaque typiques sont enregistrés comme événements de sécurité. En cas d’accumulations, de connexions bloquées et d’événements sur les comptes de nos administrateurs, notre équipe d’exploitation est alertée immédiatement par e-mail ; elle reçoit en outre un rapport quotidien.
- Vos administrateurs voient les événements de sécurité des comptes de votre entreprise (échecs de connexion, verrouillages, nouveaux appareils) avec filtres et export.
Connexion avec MFA
- TOTP selon la RFC 6238 (6 chiffres, 30 secondes), compatible avec les applications d’authentification courantes. Chaque code n’est valable qu’une seule fois (protection contre le rejeu).
- Le QR code de configuration est généré dans le navigateur ; le secret n’est transmis à aucun service externe.
- Une clé de récupération (28 caractères), utilisable une seule fois, puis reconfiguration obligatoire de l’application ; régénérable à tout moment.
- Il n’y a pas d’accès sans MFA ; la configuration est imposée dès la première connexion.
Sessions et protection contre les attaques
- Cookie de session avec préfixe __Host-, Secure, HttpOnly et SameSite=Strict ; nouvel identifiant de session après chaque étape de connexion.
- Déconnexion après 30 minutes d’inactivité, au plus tard après 10 heures (par défaut ; par entreprise de 10 à 60 minutes ou de 4 à 12 heures).
- Lorsque le mot de passe ou l’appareil MFA est modifié, toutes les autres sessions de la personne prennent fin ; en cas de désactivation, toutes.
- Token CSRF pour chaque modification.
- Politique de sécurité du contenu sans scripts en ligne et sans sources externes (default-src 'self', frame-ancestors 'none', object-src 'none'), ainsi que X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy et Cache-Control: no-store.
Chiffrement
- Data in Transit : HTTPS uniquement, HSTS pendant un an, sous-domaines compris.
- Fichiers de preuve : libsodium secretstream (XChaCha20-Poly1305) par blocs de 64 KiB, clé par client dérivée de la clé maître via KDF. Stockés sous des noms aléatoires en dehors de la racine web (répertoires 0700, fichiers 0600).
- Secrets MFA : chiffrés avec libsodium secretbox (XSalsa20-Poly1305).
- Mots de passe : stockés uniquement sous forme de hachage Argon2id ; les anciens hachages sont renouvelés automatiquement à la connexion suivante. Liens d’invitation et clés de récupération : stockés uniquement sous forme de HMAC-SHA-256.
- Backup des fichiers de preuve : contient les fichiers sous leur forme chiffrée.
- Backup de la base de données : chiffrement hybride (libsodium : clé de fichier par backup, contenu avec XChaCha20-Poly1305, clé de fichier scellée avec la clé publique de backup). La clé privée n’est pas stockée sur le serveur.
Fichiers de preuve
- Seuls certains types de fichiers sont autorisés ; l’extension et le contenu réel sont tous deux vérifiés.
- Consultation uniquement avec accès au projet ou à la tâche : en téléchargement ou, pour les PDF, images et fichiers texte, en affichage dans le navigateur. Dans les deux cas, toujours dans un environnement isolé (sandbox) sans scripts.
- Un même nom de fichier crée une nouvelle version ; les versions antérieures restent disponibles. Les fichiers supprimés sont définitivement effacés après 30 jours.
Backup et restauration
- Backup quotidien de la base de données (copie cohérente, compressée et chiffrée) et des fichiers de preuve ; les 30 derniers backups sont conservés.
- Corbeille pour tous les éléments (projets, risques, incidents, tâches, actifs, fichiers de preuve et plus) : restaurables pendant 30 jours, puis supprimés définitivement.
- Versions antérieures : les 100 dernières par document (versions approuvées conservées indéfiniment), les 50 derniers états par liste de contrôle.
- Clé propre à chaque client dans les backups : elle est détruite lors d'une suppression ; les données deviennent alors illisibles immédiatement dans la plupart des backups et dans toutes au plus tard à leur expiration.
- Des projets individuels peuvent être restaurés à partir d’un backup sous forme de copie à côté de l’état actuel, sans écraser les données existantes.
Accès par Complass
- Les consultants ne voient les projets des clients qu’avec l’autorisation d’un administrateur du client ; les accès de consultants figurent dans le journal du client (accès consultant par session et par projet, accès d’urgence à chaque ouverture de projet avec son numéro).
- Accès d’urgence uniquement si le client l’a autorisé au préalable, avec justification écrite, nouvelle connexion et approbation d’une seconde personne, 60 minutes au maximum, en lecture seule, dans le journal du client et avec un e-mail immédiat aux administrateurs du client.
- Sessions d’assistance uniquement avec l’autorisation de la personne concernée, limitées dans le temps, en lecture seule par défaut, démarrées avec le code MFA de notre administrateur dans une session distincte (votre session n’est jamais reprise) et pouvant être interrompues par vous à tout moment ; chaque consultation de page est enregistrée dans le journal d’audit client.
- Les actions d’assistance de nos administrateurs, comme la réinitialisation du mot de passe et de la MFA ou la fin de sessions, apparaissent aussi dans votre journal d’audit.
Exploitation
- Hébergé par Hetzner Online GmbH sur des serveurs en Allemagne.
- Seul le point d’entrée du portail est accessible publiquement ; la base de données, les fichiers de preuve, les backups et le code du programme sont inaccessibles depuis le web.
- Monitoring : disponibilité, backups, tâches cron, stockage, données de vulnérabilités, envoi d’e-mails, erreurs serveur, temps de réponse et PHP sont contrôlés en continu ; les alertes parviennent à Complass par e-mail. Aucun contenu client dans le monitoring.
Questions fréquentes sur la sécurité
Qui peut voir mes données ?
Les personnes de votre entreprise auxquelles vos administrateurs donnent accès, dans le cadre de leurs droits. Complass ne voit dans l’interface que des données d’administration ; les contenus uniquement avec votre autorisation de consultant, dans une session de support que vous avez autorisée ou dans l’accès d’urgence consigné au journal, si vous l’avez autorisé au préalable.
Complass peut-il techniquement accéder aux données ?
En tant qu’exploitant, nous gérons le serveur et les clés de chiffrement des fichiers de preuve. Les accès en dehors de l’interface utilisateur sont régis par le contrat de sous-traitance et limités à l’exploitation.
Que se passe-t-il en cas d’incident de sécurité chez Complass ?
Nous informons sans délai les clients concernés. Les violations de données à caractère personnel sont notifiées conformément au RGPD, en tant que sous-traitant d’abord à vous, responsable du traitement.
Complass est-il certifié ?
Non. Sur cette page, nous décrivons les mesures mises en œuvre ; nous répondons volontiers en détail aux questions de votre équipe de sécurité informatique.
Des questions de votre équipe de sécurité informatique ?
Nous répondons volontiers à vos questions sur la sécurité de Complass, y compris lors d’une démo.
Comment nous évaluons selon l’OWASP ASVS 5.0
Ou par e-mail à info@complass.eu.