Politique de Sécurité
Notre approche de la sécurité : defense en profondeur, Zero Trust, cryptographie avancee et transparence.
1. Defense en profondeur
Notre architecture de sécurité repose sur le principe de defense en profondeur : chaque couche est independante et protege contre des vecteurs d'attaque distincts.
| Couche | Composants | Nombre |
|---|---|---|
| Reseau | nftables, Traefik TLS 1.3, WireGuard, CrowdSec | 4 |
| Conteneur | AppArmor, Seccomp BPF, Trivy, SBOM | 4 |
| Application | ZeroTrust, HMAC, JWT, SSRF Filter, Prompt Injection Filter | 33 |
| Cryptographie | AES-256-GCM (repos), TLS 1.3 (transit, rustls), Argon2id (mots de passe), Ed25519 (signatures classiques), mTLS inter-services en option (desactive par défaut). PQC en option (opt-in) : ML-KEM-768 (FIPS 203) et ML-DSA-65 (FIPS 204) ; Schnorr et Shamir en option. | 5 |
| Monitoring | VictoriaMetrics, VictoriaLogs, CrowdSec, SecurityAuditLogger | 4 |
Total : 50 composants recenses dans cette table (somme des lignes, mesure du 3 octobre 2026).
- Réseau : quatre contrôles — pare-feu, filtrage, détection.
- Conteneur : quatre contrôles — isolation, images épinglées.
- Application : trente-trois contrôles — entrées, sorties, agents.
- Cryptographie : cinq contrôles — au repos, en transit, signatures.
- Supervision : six contrôles — journaux, alertes, traçabilité.
Cinq couches concentriques autour de vos données. Une couche franchie n’ouvre pas l’accès : elle mène à la suivante.
2. Zero Trust triple
Chaque requête est vérifiée par trois mecanismes indépendants :
- mTLS : authentification mutuelle par certificats X.509, disponible en option (desactivee par défaut)
- JWT : tokens signes avec rotation automatique, emis par Authentik (SSO EU)
- HMAC : signature des requêtes avec nonce distribue (Valkey), fenetre de 30 secondes
Toutes les comparaisons de secrets utilisent timingSafeEqual pour prevenir les attaques par canal auxiliaire (timing attacks).
3. Sécurité de l'IA
Les modèles d'IA sont proteges par des garde-fous dédiés :
- PromptInjectionFilter : patterns EN/FR ponderes, normalisation Unicode (caracteres invisibles, homoglyphes), decodage base64 imbrique, neutralisation du contexte non fiable (injections indirectes)
- OutputGuardrail : whitelist des appels d'outils par workflow, mode public en lecture seule, jeton canari contre la fuite du prompt système
- LLMSecurityGuard : rate-limit par session (20 req/min), budget de tokens, bornes de temperature, detection PII en sortie
- ModelIntegrityService : pinning SHA-256 des modèles, reconciliation au démarrage, alerte sur changement de digest
- Limites d'execution des outils : timeout, budget d'appels par run, payload max 1 MB
- ExcessiveAgencyGuard : classification d'agence a chaque dispatch (action destructive non auto-executee, irreversible sous consentement explicite, validation humaine au-dela du seuil financier, chaine d'appels plafonnee)
4. Sécurité de l'infrastructure
- TLS 1.3 uniquement sur tous les endpoints (cipher suites ANSSI)
- HSTS preload, CSP enforce (sans unsafe-inline ni unsafe-eval)
- nftables policy DROP par défaut, whitelist explicite
- WireGuard inter-VPS avec kill switch
- AppArmor profile pour chaque conteneur
- Seccomp BPF : blocage ptrace, mount, reboot, kexec_load, init_module
- Trivy : analyse des images (HIGH et CRITICAL bloquants ; cadence cible)
- SBOM CycloneDX genere pour chaque image
- CrowdSec actif (bouclier collaboratif)
- Backups chiffres ; tests de restauration mensuels (cadence cible)
5. Divulgation responsable
Nous encourageons la communaute de sécurité a nous signaler toute vulnerabilite de manière responsable :
Email : contact@chatbotaurus.com
Chiffrement : cle PGP disponible sur demande
Bug bounty : programme prevu sur une plateforme européenne (a ouvrir ; aucun programme actif au 3 octobre 2026)
Delai de réponse : 48h ouvrees pour l'accuse de reception
Delai de correction : 72h (critique), 7 jours (haute), 30 jours (moyenne)
Nous nous engageons a ne pas poursuivre les chercheurs en sécurité agissant de bonne foi et respectant les règles de divulgation responsable.
6. Certifications et feuille de route (aucune détenue à ce jour)
| Certification | Organisme | Horizon |
|---|---|---|
| ANSSI CSPN | CESTI agree ANSSI | 2026-2027 |
| Auto-évaluation Gaia-X | Gaia-X AISBL | documentée |
| Préparation NIS2 | Auto-évaluation + audit | 2026-2027 |
| ISO 27001:2022 | LSTI ou BSI | 2027 |
| SOC-2 Type II EU | Mazars ou KPMG EU | 2027 |
| EUCS High | ENISA | 2027-2028 |
Dernière mise à jour : 3 octobre 2026. Pour toute question de sécurité, contactez contact@chatbotaurus.com.
Besoin d'une réponse immédiate ?
Notre assistant MCP est disponible 24/7 pour repondre a vos questions techniques, vous guider dans votre projet ou resoudre vos problemes.