Sécurité
Ce qui est en place. Ce qui ne l'est pas encore.
AURI ne revendique aucune certification. Cette page liste uniquement les mesures réellement implémentées, puis celles qui sont prévues.
En place aujourd'hui
Authentification
Better Auth : mots de passe hachés (scrypt), sessions en cookies HttpOnly, Secure en HTTPS et SameSite, expiration des sessions, déconnexion côté serveur.
Limitation de débit
Connexion, inscription, réinitialisation, invitations et formulaire de contact sont limités et enregistrés en base.
Isolation des organisations
Chaque lecture et écriture est autorisée côté serveur selon votre rôle. PostgreSQL applique en plus des politiques de sécurité par ligne : une requête ne peut pas lire les données d'une autre organisation.
Invitations
Jeton aléatoire de 256 bits, stocké uniquement sous forme hachée, valable 7 jours, lié à l'adresse invitée, acceptation atomique et révocable.
Journal d'activité
Les événements importants (invitations, changements de rôle, décisions) sont horodatés et attribués ; l'application ne peut ni les modifier ni les effacer.
En-têtes de sécurité
Content-Security-Policy, protection contre l'intégration en iframe, politique de référent stricte, HSTS en production.
Aucun traceur
Pas d'outil publicitaire, pas de mesure d'audience, pas de script tiers.
Export et suppression du compte
Export JSON de vos données personnelles et suppression du compte depuis les paramètres.
Prévu
Vérification d'adresse
Un compte ne peut pas se connecter avant d'avoir confirmé son adresse e-mail. Les liens expirent. Pas encore actif sur ce site : le service d'envoi d'e-mails n'est pas configuré.
Mots de passe
12 caractères minimum, vérification de robustesse côté serveur, réinitialisation par lien à usage unique envoyé par e-mail et révocation des autres sessions. Pas encore actif sur ce site : le service d'envoi d'e-mails n'est pas configuré.
Double facteur (TOTP, passkeys)
Prévu.
Authentification unique (SSO / SAML / OIDC)
Prévu pour la formule Organisation.
Journaux d'audit exportables
Prévu.
Revue de sécurité indépendante
Prévue avant l'ouverture commerciale.
Signaler une vulnérabilité
Écrivez-nous via la page contact en choisissant l'objet « Sécurité ». N'incluez pas de données personnelles de tiers. Nous accusons réception et vous tenons informé de la correction.
Vos données
Vous pouvez exporter vos données personnelles et supprimer votre compte depuis les paramètres de votre espace. Le détail des traitements figure dans la politique de confidentialité.
Commencer.
Votre espace est prêt. En deux minutes.
Gratuit à vie, ou Équipe à l'essai pendant 30 jours. Sans carte bancaire.