Sécurité DAYTWIN

DAYTWIN applique une collecte minimale et sépare l’interface publique, les données métier et les paiements. Stripe traite les coordonnées financières complètes des clients et des Doubles.

Protections actives

• HTTPS obligatoire avec HSTS et politiques de sécurité du navigateur.
• Protection contre l’intégration dans un faux site, le reniflage de contenu et les sources externes non autorisées.
• Administration protégée par authentification et liste d’autorisation côté serveur.
• Base séparée, requêtes préparées et validation stricte des entrées.
• Limites de taille, pièges anti-robots, contrôle de provenance et limitation des tentatives sur les formulaires principaux.
• Notifications Stripe vérifiées cryptographiquement, événements dédupliqués et secrets conservés côté serveur.
• Clés privées stockées sous forme d’empreinte irréversible et jamais affichées dans l’administration.
• Pages administratives et API exclues de l’indexation et du cache public.

Données et accès

Les données ne sont accessibles qu’aux personnes autorisées et aux prestataires nécessaires. Une suppression en libre-service est disponible pour les demandes pilotes. Les accès et actions sensibles doivent être journalisés sans enregistrer de secret.

Gestion des incidents

Tout incident doit être isolé, documenté et évalué. Les clés exposées sont révoquées, les accès sont examinés et les personnes concernées sont informées lorsque le risque l’exige. Les violations présentant un risque sont notifiées à la CNIL dans le délai réglementaire.

Travaux bloquants avant ouverture générale

• Activer et vérifier la double authentification sur Stripe, e-mail, domaine et hébergement.
• Tester une sauvegarde et une restauration réelles de la base.
• Mettre en place une purge automatique des données arrivées à expiration.
• Réaliser un test de sécurité externe couvrant API, administration, accès par jeton et paiements.
• Souscrire une assurance adaptée et finaliser les contrats avec les Doubles.

Signaler une vulnérabilité

Écrivez à support@daytwin.fr avec une description sobre, l’URL concernée et les étapes de reproduction. Ne consultez pas les données d’un tiers, n’exploitez pas la vulnérabilité et ne joignez aucun secret ou donnée personnelle réelle.