Deux niveaux de vérification
Nous combinons des revues internes où nous nous attaquons nous-mêmes avec une évaluation externe indépendante.
Revue adverse interne
Des équipes indépendantes ont sondé le code avec de vrais scénarios d’attaque sur plusieurs cycles, et ont traité les constats de façon structurelle au niveau de la base de données et du serveur.
Revue externe — AEGISonar
Une évaluation externe indépendante de notre surface d’attaque et de nos vulnérabilités web via AEGISonar de WebEASM.
Revue adverse interne — notre démarche
Pas « nous avons codé avec soin » — nous avons réellement tenté d’entrer. Des équipes indépendantes aux méthodologies différentes ont examiné le code en parallèle sur plusieurs cycles, et chaque constat n’a été confirmé qu’après des tentatives indépendantes de réfuter qu’il soit atteignable.
Notre méthode
Les scénarios d’attaque que nous avons testés
Nous avons réellement tenté les attaques suivantes et vérifié qu’elles sont bloquées au niveau de la base de données et du code serveur.
✓Contournement de l’isolation des tenants
Tentatives de lire ou d’écrire les clients, documents ou demandes d’un autre cabinet. Pas seulement les lectures — les écritures (INSERT/UPDATE) sont elles aussi liées à la relation cabinet↔client et bloquées.
✓Élévation verticale de privilèges
Tentatives de passer de collaborateur→propriétaire ou de client→membre du cabinet. L’attribution des rôles et l’acceptation des invitations sont imposées côté serveur et en base de données.
✓Détournement de lien d’invitation
Tentatives d’accepter une invitation avec un e-mail qui ne correspond pas. L’e-mail de connexion doit correspondre à l’e-mail invité.
✓Contournement MFA
Tentatives d’accéder aux données avec le seul mot de passe. Dès qu’un facteur est enregistré, la base de données exige une session aal2 (à deux facteurs).
✓Abus des relais de notification/e-mail et injection d’hameçonnage
Tentatives d’injecter de faux liens de connexion par les canaux de notification. L’identité de l’expéditeur et les domaines des liens sont fixés sur des valeurs de confiance.
✓Abus du parcours d’inscription
Appels anonymes en masse à l’API d’inscription pour faire tomber le service ou accaparer des adresses de cabinets. Bloqué par le routage côté serveur, la limitation de débit et le rattachement à la session de paiement.
✓Fuite de secrets, XSS, redirections ouvertes
Nous avons vérifié si des secrets serveur fuient vers le navigateur, si une saisie utilisateur s’exécute comme script et si les redirections peuvent être détournées.
✓Falsification de webhooks SMS entrants
Tentatives de falsifier des webhooks entrants pour modifier le consentement SMS. Bloqué par une vérification de signature obligatoire.
Les problèmes réels confirmés ont été traités au niveau des politiques de base de données et du code serveur, pour la plupart avant l’arrivée de vrais clients.
Une limite honnête
La sécurité est un processus continu qui n’est jamais « terminé ». Nos revues internes reposent sur l’analyse statique et des scénarios, complétées par l’évaluation externe d’AEGISonar. À mesure que nous servons davantage de clients, nous continuons d’étendre nos tests. Plutôt que de prétendre à la perfection, nous choisissons d’être transparents sur ce que nous avons vérifié et comment.