Comment nous sécurisons votre information

Chez UCSN, la sécurité n'est pas une option ajoutée après coup : elle est intégrée à chaque décision de conception. Nous appliquons trois principes constants :

• Moindre privilège — chacun n'accède qu'à ce dont il a strictement besoin.
• Défense en profondeur — plusieurs couches indépendantes, pour qu'une faille isolée ne suffise jamais.
• Transparence — nous documentons nos contrôles et ne revendiquons rien que nous ne fassions réellement.

Notre infrastructure est hébergée à 100 % en Europe (OVH en France, Hetzner en Allemagne). Aucune donnée client n'est stockée hors de l'Union européenne.

• Les serveurs communiquent entre eux via un tunnel privé chiffré (WireGuard) — le trafic interne ne transite jamais en clair sur Internet.
• Les services applicatifs tournent dans des conteneurs isolés, en utilisateur non-root, avec des secrets fournis par variables d'environnement (jamais écrits dans le code).
• Les clés sensibles (autorité de certification interne, secrets d'infrastructure) sont stockées avec des permissions restreintes et ne transitent jamais vers les conteneurs applicatifs.

L'accès à la plateforme suit deux chemins distincts, séparés et protégés différemment selon le niveau de sensibilité.

• Chaque émission ou retrait d'un certificat d'accès est tracé dans un journal de sécurité.
• Les certificats sont nominatifs par appareil : on peut en révoquer un seul sans impacter les autres.
• Des alertes préviennent avant l'expiration d'un certificat, pour éviter toute rupture d'accès.

• Toutes les connexions entrantes passent par un reverse-proxy avec TLS systématique (chiffrement en transit).
• Les cookies de session sont limités à leur domaine (pas de partage implicite entre le site public et l'administration).
• Le trafic malveillant connu est filtré par un pare-feu applicatif (WAF) sur nos points d'entrée.

• Isolation stricte par client — chaque organisation dispose de son propre schéma de base de données. Une requête ne peut pas lire les données d'un autre client.
• Chiffrement en transit — tous les échanges, y compris internes entre nos serveurs, sont chiffrés.
• Minimisation — pour notre module DLP, l'analyse se fait au plus près de la donnée ; seules les métadonnées d'alerte (type, horodatage, gravité) remontent, pas le contenu.
• Rétention maîtrisée — les durées de conservation sont configurables par organisation.

UCSN n'est pas qu'une plateforme défensive passive : elle surveille activement les comportements à risque.

• DLP (Data Loss Prevention) — détection des tentatives d'exfiltration de données sensibles (Drive, endpoints, navigateur).
• Analyse comportementale (UEBA) — repérage des schémas anormaux (téléchargements massifs, activité inhabituelle).
• Alertes actionnables — notifications en temps réel, avec possibilité de réagir (révocation d'accès) selon vos règles.

• Les évolutions passent par une revue de code avant mise en production.
• Aucun secret n'est stocké en clair dans le code — tout passe par des variables d'environnement.
• Les dépendances sont suivies et mises à jour pour corriger les vulnérabilités connues.

Nous structurons notre sécurité selon les référentiels reconnus, en restant honnêtes sur l'état d'avancement :

• RGPD — appliqué par conception : minimisation, isolation, hébergement européen, droits des personnes.
• SOC 2 / ISO 27001 — démarche en cours. Les contrôles d'accès et la journalisation sont déjà en place ; les politiques formelles et l'audit externe sont en construction.

Nous n'affichons aucun label de certification tant qu'il n'est pas obtenu. Dès qu'une certification est validée, elle apparaîtra ici avec son rapport.

Vos données restent en Europe, sans exception. Nos environnements d'hébergement :

Certaines données peuvent être traitées par des sous-traitants (par exemple, votre fournisseur d'identité pour la connexion SSO). La liste est détaillée dans notre politique de confidentialité.