Notre engagement en matière de sécurité

Peaklyst traite des données commerciales sensibles pour le compte de vendeurs Amazon — contenus de fiches, attributs de fiche et exigences de catégorie. Nous traitons ces données avec le même sérieux que les nôtres. Cette page décrit les contrôles que nous avons mis en place, les normes que respecte notre infrastructure et la manière de signaler un problème de sécurité.

Sécurité de l'infrastructure

Peaklyst fonctionne sur une plateforme Kubernetes multi-clusters dédiée, exploitée par notre société mère tupevo S.àr.l.-S. Les environnements de production sont physiquement isolés des environnements de développement et de staging sur des clusters séparés. Chaque conteneur s'exécute en tant qu'utilisateur non-root avec un système de fichiers racine en lecture seule, toutes les capabilities Linux abandonnées et le profil seccomp par défaut activé.

Les images de base des services de production sont distroless — elles ne contiennent ni shell, ni gestionnaire de paquets, ni utilitaires système auxiliaires. Cela réduit considérablement la surface d'attaque. Toutes les images de conteneur sont continuellement analysées à la recherche de vulnérabilités connues (Trivy); notre CI bloque toute construction introduisant une CVE critique ou haute.

Chiffrement

Toutes les données en transit sont chiffrées avec TLS 1.3. Le trafic interne entre services au sein de nos clusters Kubernetes est en outre chiffré via mTLS géré par Cilium. Les données au repos sont chiffrées avec AES-256 sur chaque volume de stockage et dans chaque base de données gérée.

Les sauvegardes des bases de données sont chiffrées, stockées dans une région distincte de la base principale et conservées selon une fenêtre glissante. Des exercices de restauration sont effectués régulièrement pour vérifier leur intégrité.

Isolation des clients

Les données clients sont isolées au niveau de la base de données par les politiques de sécurité au niveau des lignes (RLS) de PostgreSQL. Chaque requête émise par l'application est automatiquement restreinte au client authentifié — aucun client ne peut lire ou modifier les données d'un autre, même en cas de bogue applicatif.

Les données du marketplace Amazon sont strictement cloisonnées par compte vendeur. En aucun cas les données de fiches ou de mots-clés d'un client ne sont visibles par un autre, ni utilisées pour entraîner des modèles ou améliorer les résultats d'autres comptes.

Authentification et contrôle d'accès

Les comptes clients s'authentifient par e-mail et mot de passe, avec l'authentification à deux facteurs (2FA) optionnelle via TOTP. Les mots de passe sont hachés avec bcrypt et un salt propre à chaque utilisateur. Les jetons de session sont à courte durée de vie et liés à l'empreinte de l'appareil d'origine.

L'intégration Amazon Seller utilise le flux OAuth officiel de la Selling Partner API. Peaklyst ne stocke jamais votre mot de passe Amazon. Les refresh tokens reçus d'Amazon sont chiffrés au niveau applicatif avant d'être écrits dans notre base de données.

L'accès administratif interne est restreint à des ingénieurs nommés de l'équipe sécurité. Toutes les actions administratives sur les données de production sont consignées dans un journal d'audit en append-only. Les droits sont accordés selon le principe du moindre privilège et revus trimestriellement.

Sécurité réseau

Les services de production communiquent via des réseaux de cluster privés; aucune base de données, aucun cache ni aucun service interne n'est accessible depuis l'internet public. L'accès externe ne se fait qu'au travers de Cloudflare Tunnels, qui assurent la protection DDoS, le filtrage WAF et la mitigation des bots avant tout accès à notre passerelle d'entrée.

Les NetworkPolicies Cilium imposent un default-deny en entrée sur chaque namespace de production — les services ne peuvent joindre que les pairs explicitement autorisés. Tout le trafic inter-clusters est chiffré.

Gestion des secrets

Les identifiants, clés d'API et clés de signature ne sont jamais stockés dans le code source, les images de conteneur ni les fichiers de configuration. Tous les secrets résident dans un coffre-fort OpenBao chiffré et sont livrés aux workloads à l'exécution par l'External Secrets Operator. Les secrets sont rotés automatiquement et chaque accès est journalisé.

Sécurité de la chaîne d'approvisionnement

Les dépendances tierces sont vérifiées à la construction (go mod verify pour Go, npm ci --ignore-scripts pour Node); l'exécution de scripts d'installation est désactivée. Les images de conteneur sont construites exclusivement dans notre pipeline CI à partir de commits signés sur la branche main — aucune image n'est poussée manuellement vers notre registry. Les GitHub Actions sont épinglées à des SHAs de commit, pas à des tags, afin de prévenir le détournement de tags.

Amazon Data Protection Policy

En tant que développeur Selling Partner API, Peaklyst se conforme à l'Amazon Data Protection Policy (DPP). Nous ne demandons, ne stockons ni ne traitons aucune donnée personnelle identifiable (PII) des acheteurs Amazon. Notre autorisation SP-API est limitée au rôle Product Listing (non restreint) et n'inclut aucune portée contenant des PII.

En cas d'incident de sécurité confirmé affectant les données du marketplace Amazon, nous notifierons Amazon dans les 24 heures suivant la découverte, comme l'exige la DPP, et informerons les clients concernés dans les meilleurs délais.

Surveillance et réponse aux incidents

Les services de production émettent des journaux structurés, des métriques et des traces vers un cluster d'observabilité dédié (Prometheus, Loki, Grafana, Glitchtip). Les anomalies — pics de taux d'erreur, échecs d'authentification, motifs d'accès inattendus — alertent l'ingénieur d'astreinte via Slack et PagerDuty.

Notre processus de réponse aux incidents comprend quatre phases : triage, confinement, éradication et revue post-incident. Chaque incident de gravité élevée donne lieu à un post-mortem écrit dans les dix jours ouvrés, et les correctifs systémiques sont suivis jusqu'à leur finalisation.

Développement sécurisé

Chaque modification de code passe par une revue de code et un outillage de sécurité automatisé avant de pouvoir être fusionnée. Le code Go est analysé par gosec (injection, identifiants, cryptographie) et govet. Les images de conteneur sont scannées par Trivy à chaque push; le CI échoue à toute découverte critique ou haute. La branche main est protégée et exige la réussite de tous les contrôles avant tout merge.

Conservation et suppression des données

Les données clients sont conservées tant que votre abonnement est actif et supprimées dans les 90 jours suivant la clôture du compte (y compris les sauvegardes). Si vous révoquez l'autorisation SP-API de Peaklyst dans Seller Central, nous cessons immédiatement d'accéder à vos données Amazon et supprimons les données de marketplace stockées dans un délai de 30 jours. Voir la Politique de confidentialité pour les détails complets.

Signaler une vulnérabilité

Nous accueillons les rapports des chercheurs en sécurité. Si vous pensez avoir découvert une vulnérabilité dans la plateforme Peaklyst, veuillez écrire à [email protected] avec une description détaillée, les étapes de reproduction et vos coordonnées. Nous accuserons réception dans les 48 heures et fournirons un calendrier de correction.

Nous vous demandons de nous laisser un délai raisonnable pour enquêter et corriger avant toute divulgation publique, de ne pas exfiltrer de données au-delà de ce qui est nécessaire pour démontrer le problème, et de ne pas perturber le service pour les autres clients. Nous n'engagerons pas d'action en justice contre les chercheurs agissant de bonne foi dans ce cadre.

Conformité

Les contrôles de Peaklyst sont conçus pour répondre aux exigences du RGPD (UE/EEE), du CCPA (Californie) et de l'Amazon SP-API Data Protection Policy. En tant qu'opérateur établi dans l'UE, nous nous conformons au droit luxembourgeois et européen de la protection des données sous la supervision de la Commission Nationale pour la Protection des Données (CNPD).

Nous contacter

Pour toute question sur notre posture de sécurité, pour demander notre documentation de sécurité ou pour signaler une préoccupation, contactez-nous :

Sécurité et confidentialité : [email protected]
Demandes générales : Page de contact