Aller au contenu

La sécurité fait partie de l’architecture.

Nous ne l’ajoutons pas en fin de projet. Chaque application livrée par Belvedere Digit applique les standards du secteur dès la première ligne de code.

Demander un auditVoir comment ça marche

Une requête, cinq couches de défense.

Ce qui arrive sur votre application traverse plusieurs protections indépendantes. Si l’une cède, la suivante tient.

  1. 1
    Réseau chiffréTLS 1.3 et HSTS : tout le trafic est chiffré, aucune connexion en clair n’est acceptée.
  2. 2
    Pare-feu et limitation de débitUn pare-feu filtre en amont, puis des quotas par IP et par route bloquent les abus.
  3. 3
    Authentification2FA, jetons courts et révocables, appareils reconnus, mots de passe hachés avec Argon2.
  4. 4
    Validation des entréesChaque donnée est validée par un schéma strict côté serveur, puis échappée à l’affichage.
  5. 5
    Données protégéesChiffrement, moindre privilège, journal d’audit et sauvegardes chiffrées.
DonnéesInterceptionForce bruteVol de sessionInjectionVol de sauvegarde

Interception sur un Wi-Fi public : flux chiffré, illisible.

L’infrastructure que nous déployons.

Chaque requête passe par quatre étages, chacun avec ses propres protections. C’est l’architecture qui tourne aujourd’hui en production chez nos clients.

  1. 1Pare-feu

    Filtrage des attaques en amont, protection anti-DDoS, adresse IP réelle du visiteur, certificats TLS.

  2. 2Diffusion des pages

    Pages servies depuis un réseau mondial (CDN), CSP stricte, HSTS, aucune clé secrète côté navigateur.

  3. 3API sécurisée

    En-têtes de sécurité, origines autorisées sur liste blanche, limitation de débit, validation de chaque requête.

  4. 4Données et fichiers

    Base chiffrée et sauvegardée, stockage de fichiers chiffré, documents privés jamais publics.

Vérifiez sur cette page.

Ce site applique ce que nous livrons. Votre navigateur vient de recevoir ces en-têtes de sécurité : nous les lisons en direct, sans rien simuler.

Aucun cookie, aucun traceur publicitaire, aucune police ni script chargé depuis un autre domaine.

HEAD /cybersecuriteLecture des en-têtes…
  • content-security-policySeuls les scripts, styles et polices de ce domaine peuvent s’exécuter.
  • strict-transport-securityLe navigateur refuse toute connexion non chiffrée pendant deux ans.
  • x-frame-optionsLe site ne peut pas être piégé dans une fenêtre d’un autre site.
  • x-content-type-optionsUn fichier ne peut pas se faire passer pour un script.
  • referrer-policyLes adresses visitées ne fuient pas vers les autres sites.
  • permissions-policyCaméra, micro, géolocalisation et paiement sont désactivés.
  • cross-origin-opener-policyLes autres onglets ne peuvent pas manipuler cette page.

Ce qui est inclus dans chaque projet.

Sans supplément : ces protections font partie de notre façon de développer.

Connexion et sessions

Qui se connecte, avec quoi, et pour combien de temps.

  • Double authentification par code (application, SMS ou email de secours)
  • Mots de passe hachés avec Argon2, anciens hachages migrés sans action de l’utilisateur
  • Jetons d’accès courts, renouvellement par cookie httpOnly, révocation immédiate
  • Nouvel appareil détecté : alerte par email et vérification
  • Lien de réinitialisation à usage unique, verrouillage après échecs répétés

Droits d’accès

Chacun ne voit que ce qui le concerne.

  • Rôles et permissions fines, tout est refusé par défaut
  • Tests automatisés contre les accès croisés (IDOR) et les élévations de droits
  • Espaces les plus sensibles réservés à une liste nominative
  • Protection CSRF sur les routes authentifiées par cookie

Réseau et API

Filtrer avant que la requête n’atteigne le code.

  • Pare-feu applicatif devant l’API : anti-DDoS, IP réelle fiable
  • Limitation de débit globale, renforcée sur la connexion
  • Origines autorisées sur liste blanche, en-têtes de sécurité stricts (HSTS, CSP)
  • Point de santé surveillé, redémarrage automatique en cas de panne

Données et fichiers

Ce qui entre est vérifié, ce qui est stocké est protégé.

  • Validation par schéma de chaque requête, champs inconnus rejetés
  • Assainissement contre l’injection NoSQL : profondeur, taille et clés limitées
  • Fichiers vérifiés par leur contenu réel, pas par leur extension
  • Documents privés servis uniquement à un utilisateur autorisé

Surveillance

Savoir ce qui se passe, et le prouver.

  • Suivi des erreurs en temps réel, données personnelles masquées
  • Journal d’audit et journal des erreurs consultables
  • Suivi des emails envoyés et des échecs d’envoi
  • Secrets détectés à chaque modification du code, environnement de recette séparé

Votre application existe déjà ? Faisons un audit.

Pour une application développée par une autre équipe, nous réalisons un audit de sécurité indépendant en quatre étapes.

  1. 1Cartographie

    Tout ce qui est exposé : pages, API, comptes, dépendances, hébergement.

  2. 2Tests

    Scan automatisé, puis vérification manuelle des points OWASP Top 10.

  3. 3Rapport

    Chaque faille classée par gravité, avec la correction à appliquer.

  4. 4Corrections

    Nous corrigeons, ou nous accompagnons votre équipe, puis nous vérifions.

Un doute sur la sécurité de votre application ?

Décrivez-nous votre contexte : nous vous proposons un audit adapté, avec un rapport clair et des corrections priorisées.

Demander un audit