Pratiques de sécurité

Vos comptes sociaux ont de la valeur ; c'est pourquoi nous considérons leur sécurité comme l'aspect le plus important de PilotPost. La présente page décrit les mesures concrètes que nous appliquons aujourd'hui.

1. Chiffrement

• Chaque page et chaque appel d'API transitent par HTTPS (TLS), avec des certificats renouvelés automatiquement.
• Les jetons d'accès aux réseaux sociaux et les autres identifiants (tels que les jetons de bot et les mots de passe d'application) sont chiffrés au repos avec AES-256-GCM.
• Les mots de passe ne sont jamais stockés sous une forme lisible : nous ne conservons qu'une empreinte bcrypt salée.

2. Votre compte

• La validation en deux étapes au moyen d'une application d'authentification est disponible sur chaque compte, et obligatoire pour les administrateurs.
• Des codes erronés répétés bloquent temporairement la connexion en deux étapes.
• Les liens de réinitialisation du mot de passe ne fonctionnent qu'une seule fois et expirent au bout de 60 minutes.
• « Continuer avec Google » vous permet de vous connecter sans mot de passe PilotPost.
• Pour la plupart des réseaux, vous vous connectez sur la page du réseau lui-même : nous ne voyons donc jamais vos mots de passe de réseaux sociaux.

3. Infrastructure

• Les serveurs sont hébergés dans l'UE par Hetzner, un prestataire certifié ISO/IEC 27001.
• L'accès aux serveurs s'effectue uniquement au moyen de clés SSH (sans mot de passe), avec blocage automatique des tentatives de connexion répétées.
• Les services internes de l'application ne sont pas exposés à Internet ; seule la passerelle web sécurisée l'est.
• La base de données est sauvegardée automatiquement chaque jour.

4. Protections au sein de l'application

• Chaque client ne peut consulter et utiliser que ses propres données et ses propres comptes connectés.
• La connexion d'un réseau repose sur des requêtes signées et à durée limitée, de sorte qu'une connexion ne peut pas être détournée.
• Les outils gratuits sont soumis à des limites d'utilisation quotidiennes afin de prévenir les abus.
• Les scripts d'analyse et de publicité ne se chargent qu'après votre acceptation des cookies.

5. Votre rôle

• Utilisez un mot de passe unique et activez la validation en deux étapes.
• Supprimez sur la page Comptes les comptes connectés que vous n'utilisez plus.
• Réservez les identifiants d'équipe aux personnes qui en ont besoin.

6. Signaler un problème de sécurité

Si vous pensez avoir découvert une vulnérabilité, veuillez écrire à support@pilotpost.social en précisant les détails, et nous laisser un délai raisonnable pour la corriger avant de la rendre publique. Veuillez ne pas accéder aux données d'autres personnes ni perturber le Service lors de vos tests. Nous vous remercions pour tout signalement responsable.