Sécurité et confiance

Une clé par compte

Les données de chaque compte (profils d'organisation, réponses du Diagnostic, scénarios du compte, journaux et états de partie, échanges, débriefings) sont chiffrées au repos en AES-256-GCM sous une clé propre au compte. Cette clé est elle-même chiffrée par une clé de la plateforme.

Chiffré avec votre clé (BYOK)

Option des comptes dédiés, ouverte compte par compte : la clé de votre compte est chiffrée par une clé que vous détenez dans votre AWS KMS ou votre Azure Key Vault. Nous n'y accédons que par un rôle que vous nous déléguez (AWS) ou une application que vous autorisez (Azure), limités à cette clé, et chaque usage apparaît dans vos propres journaux. Si vous révoquez votre clé, les données écrites depuis l'activation deviennent illisibles, sauvegardes comprises.

Votre clé au quotidien

La plateforme déchiffre vos données pour faire fonctionner le service, et les fournisseurs d'IA reçoivent les données nécessaires, avec ou sans cette option. Si votre clé ne répond plus, une partie en cours va à son terme grâce à une copie temporaire de la clé du compte, chiffrée par la plateforme et conservée 24 heures au plus ; une nouvelle partie exige que votre clé réponde.

Fichiers et documents

Les médias des scénarios et des parties et les documents de la base de connaissances sont chiffrés sur disque sous la clé du compte. Les documents transmis au Diagnostic, pour le pré-remplissage ou la carte réseau, sont lus en mémoire uniquement ; les anciens formats bureautiques sont convertis dans un environnement isolé d'Internet.

Effacement à la suppression du compte

À la suppression d'un compte, ses scénarios, parties, actions et rôles sont supprimés, et ses clés avec eux : une donnée chiffrée restée sous un compte qui n'existe plus est illisible (effacement cryptographique). Limite : les sauvegardes antérieures conservent ces données jusqu'à la fin de leur durée de conservation (voir Disponibilité et continuité).

Secrets et transport

Mots de passe hachés avec Argon2id ; secrets d'authentification et clés d'IA des clients chiffrés en base ; sauvegardes chiffrées avant tout envoi hors du serveur. HTTPS obligatoire avec en-tête HSTS ; le chiffrement TLS se termine chez Cloudflare, par le réseau duquel transite tout le trafic du site.

Authentification forte

Application TOTP, clé d'accès (passkey) ou authentification multifacteur attestée par Google ou Microsoft. Obligatoire pour les administrateurs et les Game Masters et, par défaut, pour les utilisateurs des comptes dédiés, après un délai de grâce de 7 jours. Le Game Master règle cette obligation pour son compte, et chaque changement est inscrit au journal d'audit.

Preuve récente pour les opérations sensibles

Les opérations sensibles (clés, facturation, changement d'adresse e-mail, suppressions) exigent une preuve récente du second facteur. Après 10 codes erronés en une heure, la vérification est bloquée et l'utilisateur est prévenu par e-mail ; l'ajout d'un facteur et un changement d'adresse lui sont aussi signalés.

Durée maximale des sessions

Une session dure au plus 24 heures pour un administrateur, 7 jours pour un Game Master et 30 jours pour les autres utilisateurs. Le jeton d'accès vaut 60 minutes ; le jeton de renouvellement est conservé haché, remplacé à chaque usage, et sa réutilisation est détectée.

Révocation

La déconnexion révoque la session de l'appareil. Une demande de suppression du compte, ou un changement d'adresse fait par un administrateur ou un Game Master, révoque toutes les sessions de l'utilisateur.

Journal d'audit

Les opérations sensibles (export et suppression de données, changements de rôle, de mot de passe ou d'adresse e-mail, politique d'authentification forte, suppressions) sont journalisées et conservées un an. Le Game Master consulte et exporte celles de son compte, sans les adresses IP.

Cloisonnement

Rôles (joueur, Game Master, administrateur) et cloisonnement des données par compte. Un scénario d'un autre compte est traité comme s'il n'existait pas.

Fournisseurs

Le contenu pédagogique (maître du jeu, négociation, console forensique, débriefing, conseillère Athena) est généré par OpenAI, Anthropic ou Mistral AI selon la configuration. TypeSafe AI note les livrables et choisit les actions de la cellule simulée, de la main du tour et du maître du jeu en direct.

Ce qu'ils reçoivent

Le contexte du scénario, le nom et le profil de l'organisation de l'exercice et les textes rédigés par les participants. Leur nom d'utilisateur et leur adresse e-mail restent sur la plateforme, comme le chat d'équipe et le chat de l'équipe attaquante.

Documents et caviardage

Pour le pré-remplissage du Diagnostic, la carte réseau et la base de connaissances, le texte des documents et leur nom sont transmis tels quels au modèle ; les résultats sont caviardés : noms, adresses e-mail et numéros de téléphone y sont remplacés. Privilégiez des documents sans coordonnées nominatives.

Votre propre clé d'IA (BYOLLM)

Un compte dédié peut brancher ses clés OpenAI, Anthropic ou Mistral : toutes les fonctions IA qui vous servent, Athena comprise, utilisent alors votre clé, et tant que votre clé est valide, les appels passent par votre compte fournisseur, sous votre contrat ; sinon, la plateforme utilise ses propres clés. Restent sur la plateforme : la synthèse vocale, la traduction par lot de l'éditeur de scénarios et la notation par TypeSafe AI.

Entraînement des modèles

Nous avons désactivé l'utilisation de vos données pour l'entraînement chez nos fournisseurs d'IA (OpenAI, Anthropic, Mistral AI). OpenAI peut conserver les données du Diagnostic, de la carte réseau et de la création d'une organisation depuis son nom de domaine jusqu'à 30 jours pour la seule détection des abus. TypeSafe AI s'engage à ne pas entraîner de modèle sur les contenus transmis. Avec votre propre clé, c'est votre contrat avec le fournisseur qui s'applique.

Encadrement de l'IA

Les textes saisis par les participants ou tirés de documents sont balisés comme données non fiables dans les instructions envoyées aux modèles, et les effets de jeu proposés par l'IA restent bornés par des règles fixes. Un disjoncteur journalier coupe les appels non essentiels de la plateforme au-delà d'un budget ; les parties en cours et les appels faits avec votre propre clé continuent.

Évaluations de sécurité

La plateforme fait l'objet d'évaluations de sécurité applicatives régulières, menées par l'éditeur (outils automatisés, analyse assistée par IA, revue experte). Les constats de la dernière, les 19 et 20 octobre 2026, sont corrigés. Une synthèse est remise sur demande, sous accord de confidentialité.

Politique de sécurité du contenu

Les pages n'exécutent un script en ligne que s'il est autorisé par son empreinte ou par un nonce propre à la réponse, et aucun gestionnaire d'événement écrit en attribut ; leur affichage dans le cadre d'un autre site est bloqué. Les bibliothèques sont hébergées sur nos serveurs.

Contrôles à chaque modification

Chaque modification passe par une demande de fusion et une intégration continue obligatoire : tests automatisés, analyse statique Semgrep, détection de secrets Titus, et des cliquets qui empêchent d'ajouter du HTML non échappé ou des exceptions avalées. Chaque semaine, Semgrep analyse tout le code et Titus tout l'historique.

Dépendances

Dependabot ouvre chaque semaine des propositions de mise à jour des dépendances Python. Une veille automatique confronte les versions de toutes les dépendances Python et JavaScript à la base de vulnérabilités OSV.dev, et les mises à jour qui en découlent sont testées, puis relues avant fusion.

Protections applicatives

Protection contre la falsification de requêtes (CSRF), limitation du nombre de requêtes, verrouillage après des échecs de connexion répétés, vérification anti-robot à l'inscription et à la connexion, protection contre les requêtes forgées côté serveur (SSRF) quand la plateforme lit une adresse web.

Signaler une vulnérabilité

Signalez une vulnérabilité par e-mail à l'adresse ci-dessous. Ces coordonnées sont aussi publiées au format standard security.txt (RFC 9116).

[email protected]

Lire le fichier security.txt

État des services

La page État des systèmes affiche en direct l'état de l'API, de la base de données et du cache.

Voir l'état des systèmes

Restauration vérifiée

Chaque nuit, la dernière sauvegarde est restaurée automatiquement dans une base jetable puis vérifiée ; une sauvegarde manquante ou en échec déclenche une alerte.

Plan de reprise

Un plan de reprise documenté décrit la reconstruction complète de la plateforme à partir des copies hors site ; il a été rejoué de bout en bout le 15 juin 2026.

RGPD

Registre des activités de traitement tenu (article 30), délégué à la protection des données joignable par e-mail, export et suppression de vos données depuis l'application (Paramètres, Mes données), réponse aux demandes sous 30 jours au plus. Une analyse d'impact a été menée pour la négociation avec un cybercriminel simulé.

[email protected]

Accord de sous-traitance (DPA)

Un accord de sous-traitance au sens de l'article 28 du RGPD, avec la liste de nos sous-traitants, est proposé aux clients de l'offre Entreprise et de l'exercice de crise clé en main. Demandez-le avec le formulaire ci-dessous.

NIS 2

Digital Siege sert à préparer, jouer et débriefer des exercices de crise ; l'exercice clé en main fournit un rapport RETEX et une preuve d'exercice, à verser à votre dispositif de conformité NIS 2.

Auto-hébergement en France

La plateforme et sa base de données sont hébergées par l'éditeur lui-même, sur ses propres serveurs, dans ses locaux en France (Union européenne). Le trafic transite par le réseau de Cloudflare, qui assure la diffusion, la protection contre les attaques et la terminaison TLS ; l'application et ses données restent sur nos serveurs.

Chaîne de sauvegarde

La base est sauvegardée chaque jour et chiffrée avant de quitter le serveur : 7 sauvegardes quotidiennes sur le serveur, 60 jours sur un second serveur, et une copie hors site immuable, hors ligne pour le serveur de production : seul le second serveur y dépose, en ajout seul. Elle est conservée 90 jours après sa création.

Administration et supervision

Les serveurs s'administrent par un réseau privé chiffré (Tailscale). La supervision (métriques, journaux, alertes, détection d'intrusion à l'exécution) est auto-hébergée ; les journaux techniques sont conservés 30 jours.