Caractéristiques de sécurité

Découvrez les mesures de sécurité qui protègent votre compte StockCraft et vos données professionnelles.

StockCraft prend la sécurité très au sérieux. Nous mettons en œuvre des pratiques de sécurité conformes aux normes du secteur pour protéger votre compte et vos données professionnelles.

Authentification multifactorielle (MFA)

L'authentification multifactorielle ajoute un niveau de sécurité supplémentaire à votre compte en exigeant deux formes de vérification :

• Quelque chose que tu sais - Votre mot de passe
• Quelque chose que tu as - Votre smartphone avec une application d'authentification

Même si quelqu'un obtient votre mot de passe, il ne pourra pas accéder à votre compte sans le code temporel de votre application d'authentification.

Qu'est-ce que TOTP ?

StockCraft utilise un mot de passe à usage unique basé sur le temps (TOTP) pour le MFA. TOTP génère un code unique à 6 chiffres toutes les 30 secondes sur la base d'un secret partagé entre votre application d'authentification et StockCraft. Ce code ne peut être utilisé qu'une seule fois et expire rapidement, ce qui le rend extrêmement sécurisé.

Comment TOTP améliore la sécurité

• Protection contre le vol de mots de passe - Même si votre mot de passe est compromis, les attaquants ne peuvent pas accéder à votre compte sans votre application d'authentification
• Protection contre le phishing - Les codes TOTP sont limités dans le temps et ne peuvent pas être réutilisés, ce qui rend les attaques de phishing inefficaces
• Aucune vulnérabilité liée aux SMS - Contrairement à l'authentification à deux facteurs basée sur les SMS, TOTP ne s'appuie pas sur des réseaux téléphoniques pouvant être interceptés
• Fonctionne hors ligne - Votre application d'authentification génère des codes localement sans avoir besoin d'une connexion Internet

Configuration de la MFA

L'activation de la MFA est simple et rapide. Accédez à votre page Paramètres, accédez à l'onglet Sécurité, puis cliquez sur « Activer l'authentification multifacteur ». Vous allez scanner un code QR à l'aide de votre application d'authentification et vérifier un code pour terminer la configuration. Consultez le guide de configuration complet du MFA →

Sécurité des mots de passe

StockCraft impose des exigences strictes en matière de mots de passe :

• Minimum de 8 caractères
• Doit inclure des lettres majuscules et minuscules
• Doit inclure au moins un chiffre
• Doit inclure au moins un caractère spécial

Les mots de passe ne sont jamais stockés en texte brut. Nous utilisons des algorithmes de hachage standard fournis par AWS Cognito pour stocker en toute sécurité les hachages de mots de passe.

Chiffrement des données

Toutes les données transmises entre votre navigateur et les serveurs StockCraft sont cryptées à l'aide du protocole HTTPS/TLS. Cela garantit que vos données ne peuvent pas être interceptées ou lues par des tiers pendant la transmission.

Les données au repos sont cryptées à l'aide des services de cryptage AWS, protégeant ainsi les informations de votre entreprise même si les supports de stockage physiques étaient compromis.

Isolation de plusieurs locataires

StockCraft utilise une architecture multi-tenant sécurisée dans laquelle les données de chaque entreprise sont isolées de manière logique. Vos données ne sont jamais visibles pour les autres utilisateurs de StockCraft, et toutes les requêtes de base de données sont automatiquement limitées à votre identifiant de locataire.

Gestion des sessions

Les sessions utilisateur sont gérées de manière sécurisée avec :

• Expiration automatique de la session en cas d'inactivité
• Stockage sécurisé des jetons dans la mémoire locale du navigateur
• Mécanismes d'actualisation des jetons pour maintenir la sécurité sans perturber votre flux de travail
• Invalidation immédiate de la session lors de la déconnexion

Questions fréquemment posées

Le MFA est-il requis ?

Le MFA est facultatif mais fortement recommandé. L'activation de l'authentification multifacteur réduit considérablement le risque d'accès non autorisé au compte.

Que se passe-t-il si je perds mon application d'authentification ?

Si vous perdez l'accès à votre application d'authentification, contactez le support StockCraft pour obtenir de l'aide pour récupérer votre compte. Nous vous recommandons d'utiliser une application d'authentification qui prend en charge la sauvegarde dans le cloud (comme Authy ou Microsoft Authenticator) pour éviter cette situation.

Puis-je utiliser le SMS pour l'authentification à deux facteurs ?

Actuellement, StockCraft ne prend en charge que le MFA basé sur TOTP à l'aide d'applications d'authentification. Le TOTP est plus sécurisé que l'authentification à deux facteurs basée sur les SMS, car il ne repose pas sur des réseaux téléphoniques susceptibles d'être interceptés.

Où sont stockés mes secrets TOTP ?

Les secrets TOTP sont gérés de manière sécurisée par AWS Cognito et ne sont jamais stockés dans la base de données de l'application StockCraft. Cela garantit que même les développeurs de StockCraft ne peuvent pas accéder à vos secrets MFA.

À quelle fréquence dois-je saisir les codes MFA ?

Vous devez saisir un code MFA chaque fois que vous vous connectez à StockCraft. Votre session restera active pendant un certain temps, vous n'aurez donc pas à saisir de nouveau les codes lors d'une utilisation normale.

Puis-je désactiver le MFA ?

Oui, vous pouvez désactiver l'authentification multifacteur à tout moment depuis la page des paramètres. Vous devrez saisir un code TOTP actuel pour confirmer la modification, en vous assurant que vous êtes la seule personne à pouvoir désactiver l'authentification multifacteur sur votre compte.

Signaler un problème de sécurité

Il n'y a aucune invitation ouverte à tester, scanner ou sonder StockCraft. Les activités suivantes ne sont pas autorisées, quelle que soit l'intention qui les sous-tend :

• Analyse des vulnérabilités ou sondage automatique de stockcraft.org ou n'importe quel sous-domaine
• Création de comptes ou de locataires d'essai afin de les tester
• Tentative d'accès à des données appartenant à un compte autre que le vôtre
• Tests d'authentification, d'autorisation ou de prise de contrôle de compte, y compris pour les comptes que vous contrôlez
• Tests de déni de service, de charge ou de résistance
• Ingénierie sociale de notre personnel, de nos clients ou de nos fournisseurs

L'enregistrement d'un compte ne donne pas l'autorisation de le tester. Les tests non sollicités enfreignent nos conditions d'utilisation. Qualifier un travail de « chapeau gris », de « bonne foi » ou de « divulgation responsable » ne signifie pas qu'il est autorisé, et nous n'offrons aucune protection, aucune reconnaissance ou récompense pour celui-ci.

Les tests de sécurité ne sont autorisés que dans le cadre d'un accord écrit signé à l'avance par StockCraft, définissant la portée, le calendrier, les méthodes et le traitement des données.

Si vous avez trouvé quelque chose

Nous voulons toujours le savoir. E-mail support@stockcraft.org en inscrivant « Rapport de sécurité » dans la ligne d'objet, et dites-nous ce que vous avez observé.

Merci de ne signaler que ce que vous avez déjà vu. N'escaladez pas, n'effectuez pas de tests supplémentaires pour confirmer l'impact et n'accédez pas à des données qui ne vous appartiennent pas. Si la confirmation d'une découverte nécessite l'une de ces informations, décrivez ce que vous soupçonnez et nous enquêterons nous-mêmes. Nous évaluons chaque rapport authentique en fonction de ses mérites et nous nous efforçons d'en accuser réception dans les 48 heures. L'acceptation d'un rapport ne constitue pas une autorisation rétrospective quant à la manière dont il a été obtenu.

Il n'y a pas de paiement, de prime ou de récompense pour les rapports de sécurité.

Retourner à la page de démarrage →