Securite par design

Reseau

• TLS 1.3 pour toutes les communications
• Traefik reverse proxy avec headers de securite
• Rate limiting 5 niveaux (100 a 20 000 req/h)
• Circuit breakers sur tous les services critiques

Authentification

• Better Auth avec OAuth2 (Google, Apple)
• 2FA TOTP (Google Authenticator, Authy)
• Sessions JWT avec rotation automatique
• RBAC 5 roles (Owner, Admin, Editor, Writer, Viewer)

Donnees

• PostgreSQL Row Level Security (RLS) par site
• Chiffrement AES-256 au repos
• PgBouncer pour le connection pooling securise
• Sauvegardes quotidiennes chiffrees (Backblaze B2)

API & Secrets

• Cles API avec scoping par site
• Webhooks signes HMAC-SHA256
• Variables d'environnement chiffrees
• Rotation automatique des credentials

Monitoring

• Prometheus + Alertmanager 24/7
• Sentry Cloud pour le suivi d'erreurs
• Audit logs pour toutes les actions admin
• Dead Letter Queue pour les operations echouees

Infrastructure

• Hetzner Cloud Allemagne (ISO 27001, SOC 2)
• Docker avec isolation par conteneur
• Images Docker scannees (Trivy, Snyk)
• Mises a jour de securite automatiques

Chiffrement bout en bout

Toutes les donnees sont chiffrees en transit (TLS 1.3) et au repos (AES-256). Les mots de passe sont haches avec bcrypt (cost factor 12).

Principe du moindre privilege

Chaque microservice n'a acces qu'aux ressources dont il a besoin. L'isolation par RLS garantit qu'un site ne peut jamais acceder aux donnees d'un autre.

Reponse aux incidents

Processus de reponse aux incidents documente. Notification CNIL sous 72h. Communication aux utilisateurs sous 48h. Post-mortem publie dans les 7 jours.