La sécurité chez Espobase

• Espobase n'est pas certifié SOC 2 et n'est pas conforme à HIPAA. Nous ne signons pas d'accords BAA (Business Associate Agreement).
• Ne stockez pas d'informations de santé couvertes par HIPAA, de numéros de carte de paiement ni d'autres données qui exigent un prestataire certifié : nos Conditions ne le permettent pas.

• Tout le trafic vers le site, le tableau de bord et les API utilise HTTPS.
• Les sauvegardes sont chiffrées (AES-256-GCM) avant de quitter notre serveur.
• Les mots de passe des bases de données, les clés de signature et les autres secrets sont stockés chiffrés (AES-256-GCM).

• Les mots de passe ne sont stockés que sous forme de hachages irréversibles (Argon2id), pour votre compte Espobase comme pour les utilisateurs de votre application.
• Les clés d'API et les jetons d'accès ne sont stockés que sous forme de hachages à clé, et ne sont affichés qu'une fois, à leur création.
• Les clés d'API secrètes sont refusées lorsqu'elles proviennent d'un navigateur, pour qu'elles ne puissent pas fuiter par erreur via le front end.

• La sécurité au niveau des lignes est activée par défaut sur chaque nouvelle table : rien ne peut être lu avec une clé publiable tant que vous n'ajoutez pas de règle.
• Chaque projet a sa propre base de données, isolée des autres projets.
• Les règles de sécurité vous sont montrées en SQL pour vérification avant d'être appliquées, et les modifications proposées par l'IA ne sont jamais appliquées sans votre accord.

• La base de données de chaque projet est sauvegardée chaque jour. Une sauvegarde ne compte qu'une fois retéléchargée, déchiffrée et vérifiée.
• Les sauvegardes sont conservées 1 jour (Free), 7 jours (Pro) ou 14 jours (Group), et verrouillées contre la suppression pendant 7 jours.

• Vérification de l'e-mail, réinitialisation du mot de passe et connexion avec GitHub, Google ou Apple.
• Des rôles pour les membres de l'organisation (propriétaire, administrateur, développeur, lecteur) et un accès limité à certains projets.
• Authentification unique (SSO) et journal d'audit des actions sensibles avec l'offre Group.
• Les jetons d'accès personnels sont limités aux permissions que vous choisissez et expirent toujours.

• Le site, le tableau de bord et les API sont vérifiés de l'extérieur toutes les 5 minutes : consultez la page d'état en direct.
• Seul le point d'entrée web est accessible depuis internet : les bases de données et les services internes ne sont jamais exposés.
• Nous sommes alertés automatiquement lorsqu'un service tombe en panne.

Les bases de données des projets et les API fonctionnent aux États-Unis (Boston). Les fichiers envoyés et les sauvegardes sont stockés chez Cloudflare R2, en Amérique du Nord. Les détails figurent dans notre politique de confidentialité.

Si vous pensez avoir trouvé une vulnérabilité, écrivez à support@espobase.com avec les détails et les étapes pour la reproduire. Pendant vos tests, n'accédez pas aux données d'autres personnes et ne perturbez pas le service. Nous vous répondrons et vous tiendrons informé jusqu'à la correction.