Sécurité

Callbell s’engage à maintenir un taux de disponibilité (uptime) de 99,9 % et utilise plusieurs services pour surveiller le temps de fonctionnement et la disponibilité du site. En cas d’interruption ou d’urgence, notre équipe reçoit des notifications en temps réel, ce qui nous permet d’intervenir rapidement.

Dans le cas rare où des problèmes surviendraient, nous vous tiendrons informé en permanence via notre page de statut et des notifications dans l’application. Nous ferons tout ce qui est en notre pouvoir pour résoudre le problème le plus rapidement possible.

Tout le trafic vers Callbell transite par une connexion chiffrée SSL et nous n’acceptons le trafic que sur le port 443. Lors de la première visite du site web, Callbell envoie à l’agent utilisateur un en-tête Strict Transport Security (HSTS), garantissant que toutes les requêtes futures seront effectuées via HTTPS, même si un lien vers Callbell est indiqué en HTTP.

Callbell utilise Amazon Web Services (AWS) pour conserver les données des utilisateurs. Ces serveurs font l’objet d’évaluations régulières afin de garantir leur conformité aux normes les plus récentes du secteur, avec une gestion continue des risques. Grâce à l’utilisation d’AWS comme centre de données, notre infrastructure est accréditée selon les normes suivantes :

Pour en savoir plus sur la sécurité d’AWS, cliquez ici.

Pour accéder à Callbell, il est nécessaire de fournir un mot de passe sécurisé d’au moins 6 caractères. Nous ne conservons pas les mots de passe des utilisateurs en clair : nous stockons uniquement des empreintes (hashes) de mots de passe chiffrées de manière unidirectionnelle au moyen de Bcrypt, open source et audité, avec un sel aléatoire propre à chaque utilisateur. Cela protège les utilisateurs contre les attaques par tables arc-en-ciel (rainbow tables) et contre la comparaison de mots de passe chiffrés.

Si un utilisateur saisit plusieurs fois de suite un mot de passe erroné, le compte est temporairement bloqué afin de prévenir les attaques par force brute. Pour mieux protéger l’accès à leur compte, les utilisateurs peuvent activer l’authentification à deux facteurs avec Google Authenticator ou Authy depuis les paramètres de sécurité de leur compte.

Nous bloquons les requêtes provenant d’adresses IP ou de plages d’adresses connues et vulnérables.

Les requêtes provenant d’une même adresse IP sont soumises à un ralentissement (throttling) et à une limitation de fréquence (rate limiting) afin d’éviter d’éventuels abus.

Pour bloquer les attaques de type Cross-Site Scripting (XSS), toutes les sorties sont échappées par défaut dans notre application back-end avant d’atteindre le navigateur, où elles pourraient donner lieu à des attaques XSS. Nous évitons de renvoyer des données brutes, car cela pourrait entraîner l’envoi de données indésirables au navigateur.

Notre application bloque les requêtes qui ne proviennent pas de nos domaines, afin de contribuer à réduire le risque d’attaques de type Cross-Site Request Forgery (CSRF) ; pour les actions importantes, nous utilisons en outre des jetons CSRF.

Enfin, nous avons mis en place l’en-tête HTTP Content Security Policy (CSP), qui définit dans une liste blanche les ressources (JavaScript, images, feuilles de style, etc.) que le navigateur de l’utilisateur peut charger et exécuter. Un en-tête CSP correctement mis en œuvre élimine tout JavaScript malveillant (attaques XSS), les fichiers contrefaits déguisés en images et les attaques similaires reposant sur la confiance du navigateur envers les ressources fournies.

En ce moment même, un groupe de spécialistes indépendants de la sécurité teste en continu la sécurité de notre application, ce qui nous aide à identifier et à éliminer d’éventuelles vulnérabilités.

Notre équipe utilise des mots de passe sécurisés et uniques pour les comptes Callbell et a activé l’authentification à deux facteurs sur chaque appareil et service utilisé. Tous les employés de Callbell sont invités à utiliser un gestionnaire de mots de passe (LastPass, 1Password, …) pour générer et conserver des mots de passe sécurisés.

Nous veillons également à chiffrer les disques durs locaux et à activer le verrouillage automatique de l’écran. L’accès aux fonctionnalités d’administration de l’application est réservé à un groupe restreint de personnes.

Nous avons mis en place des revues de code rigoureuses pour toute modification de notre base de code, afin de garantir l’application des bonnes pratiques de développement à chaque push de code.

Depuis le lancement de Callbell, nous invitons chacun à nous signaler les problèmes rencontrés dans notre application, afin de rendre notre plateforme toujours plus sûre et fiable. Tous les signalements de vulnérabilités sont lus, traités et font l’objet d’une réponse dans les meilleurs délais.

Dotez l’équipe de superpouvoirs. Gratuit 7 jours.

Connectez canaux et équipe, l’IA gère le répétitif. Prêt en 3 minutes.

CommencezAvec Google