Sécurité & Confiance

Vos données méritent
plus qu'un cadenas.

ROOMCA est construit pour résister aux attaques d'aujourd'hui ,et à celles de demain. Voici concrètement comment, expliqué sans jargon.

Posture en un coup d'œil
TransitX25519MLKEM768 / FIPS 203ok
SessionEd25519 + ML-DSA-65 / FIPS 204ok
Mots de passeArgon2id / OWASP 2024ok
Au reposAES-256-GCMok
HébergementScaleway PAR1, Franceok
MFATOTP obligatoireok
🔒Document destiné aux RSSI, DPO & équipes d'audit ,téléchargement libre, sans inscription.
0%
Mots de passe hashés
Argon2id (OWASP 2024)
MFA
TOTP renforcé
Microsoft / Google Authenticator
PQC
Post-quantique transit + session
X25519MLKEM768 TLS + ML-DSA-65 JWT
Hébergement Scaleway
Paris (fr-par), France
Le voyage d'une requête

De votre clavier jusqu'à notre base

Chaque étape du voyage est chiffrée, signée, ou vérifiée. Aucune faille à mi-chemin.

01

🌐Vous tapez roomca.fr

Le navigateur ouvre un tunnel TLS 1.3 exclusif vers nos serveurs. Pas de downgrade toléré.

02

🧬Poignée de main post-quantique

Négociation X25519MLKEM768 : une clé X25519 classique ET une clé ML-KEM-768 (FIPS 203). L'adversaire qui stocke aujourd'hui pour déchiffrer demain échoue.

03

🔐Identité + MFA

Mot de passe vérifié contre Argon2id. TOTP (Microsoft / Google Authenticator) exigé. Lockout automatique après plusieurs échecs.

04

🎟️Session signée 2×

Chaque JWT porte une signature Ed25519 ET une signature ML-DSA-65 (FIPS 204). Une des deux peut tomber, l'autre tient.

05

💾Stockage chiffré

Secrets (MFA, tokens, PII) chiffrés AES-256-GCM avant écriture. Réplication continue chiffrée vers Scaleway Object Storage France.

Les 10 piliers

Ce qui vous protège concrètement

Chaque pilier répond à une famille d'attaques réelles. Aucun n'est théorique, aucun n'est optionnel.

🔐

Votre identité protégée

Vol de mot de passe ? Inutile sans votre accord.

Mots de passe illisiblesMFA TOTPVerrouillage autoCodes de secours
🧬

Post-quantique hybride (2 niveaux)

« Harvest now, decrypt later » : neutralisé. TLS et sessions hybrides classique + post-quantique.

TLS hybride (transit)JWT hybride (session)AES-256-GCM (repos)Clés séparées par usage
🛡️

Protection contre les pièges web

XSS, CSRF, clickjacking : bloqués par défaut.

CSP stricteDouble-submit CSRFCookies `__Host-`Anti-clickjacking
🎟️

Sessions intelligentes

Session volée ? Détectée et coupée automatiquement.

Refresh token rotatifDétection de vol (RFC 6819)Logout globalDurées courtes
⚖️

Vos droits, respectés (RGPD art. 32)

Conformité RGPD article 32 appliquée concrètement.

Pseudonymisation & chiffrementConfidentialité & intégritéDisponibilitéTests réguliers
🇫🇷

Souveraineté des données

Vos données restent en France, hors Cloud Act.

Hébergement 100 % FranceBackups en FranceMonitoring auto-hébergéMesure d'audience opt-in
🩹

Gestion des correctifs

Failles connues non corrigées = portes ouvertes. Pas chez nous.

Veille CVEPatches OS autoAnti supply-chainRotation à chaud
🎯

Uploads vérifiés

Un .exe déguisé en .jpg ? Rejeté avant le disque.

Magic bytesSVG bloquésNoms réécritsTaille plafonnée
👥

Isolation entre entreprises

Vos données ne croisent jamais celles d'un autre client.

Vérif serveur à chaque requêteGarde canActOnCompany()Cinq rôles granulairesSSO OIDC
🏠

Infrastructure durcie

Même franchie, l'app se heurte à une VM minimaliste et supervisée.

VM Scaleway ParisProcessus non-rootFirewallHTTPS obligatoire
Standards & certifications

Sur qui reposent nos garanties

Nous ne produisons pas ces certifications. Elles sont portées par notre hébergeur (Scaleway) et par les standards internationaux que nous appliquons.

ISO 27001
Hébergeur
ISO 27017
Hébergeur
ISO 27018
Hébergeur
HDS
Hébergeur
SecNumCloud
Hébergeur
RGPD
Art. 32
OWASP
Password 2024
FIPS 203/204
NIST PQC
Pour les non-techniciens

Nos protections, en une image

🏦
Comme un coffre de banque
Votre mot de passe n'est pas stocké en clair. Nous gardons une empreinte Argon2id (norme OWASP 2024) : même si quelqu'un volait notre base, il récupèrerait des empreintes inexploitables, pas vos vrais mots de passe.
🔑
Comme une clé à double verrou
Pour se connecter, il faut ET votre mot de passe ET un code unique TOTP généré par Microsoft ou Google Authenticator. L'un sans l'autre ne sert à rien.
📮
Comme une enveloppe scellée
Vos échanges avec ROOMCA passent par deux signatures cryptographiques différentes. Si un facteur imprime un faux cachet, l'autre tient.
🚨
Comme une alarme avec capteur
Si une clé de session volée est utilisée ailleurs, le système s'en rend compte, coupe tout, et vous avertit ,avant que l'attaquant n'ait le temps d'en profiter.
🧹
Comme un ménage automatique
Les vieilles données qui ne servent plus (journaux, sessions expirées) sont supprimées toutes les nuits. Ce qui n'est pas stocké ne peut pas fuiter.
🛂
Comme un contrôle frontalier
Chaque fichier uploadé est vérifié octet par octet. Un faux document est rejeté avant même de toucher nos serveurs.
Architecture

La stack qui tourne sous le capot

Construite pour durer et défendable ligne par ligne. Pas de boîte noire, pas de dépendance extra-UE, pas de SaaS américain entre vos données et nous.

⚙️

Runtime applicatif

Serveur
Node.js LTS, framework HTTP moderne
Exécution
TypeScript natif, build serveur minimal
Supervision
Process supervisé, utilisateur non-root
Hébergement
Bare-metal, surface réduite
💾

Données

Base
SQLite, secrets chiffrés AES-256-GCM
Réplication
Continue et chiffrée vers stockage objet
Destination
Scaleway Object Storage France
Restore
Testé, documenté, RPO court
🌐

Réseau & TLS

Reverse proxy
TLS 1.3 exclusif, HTTP/3 disponible
Post-quantique
X25519MLKEM768 (NIST FIPS 203)
Certificats
ACME automatique, renew sans coupure
Admin
Tunnel VPN obligatoire, SSH public fermé
🛡️

Défense active

Anti-bot
Détection comportementale, bans automatiques
Headers
CSP stricte, HSTS, COOP/CORP, frame-ancestors none
Rate limiting
Backend distribué, clés multi-facteurs
Auth
Argon2id, MFA TOTP, RBAC granulaire
📊

Observabilité

Erreurs
Monitoring auto-hébergé, scrubbing PII complet
Logs
Structurés JSON, rotation et rétention bornée
Analytics
GA4 opt-in (Consent Mode v2), IP anonymisée, zéro pixel pub
Métriques
Instrumentation Prometheus interne
🔌

Services externes

Email
SMTP transactionnel France, SPF/DKIM/DMARC alignés
Paiement
Stripe Billing (au lancement)
SSO entreprise
OpenID Connect, SAML, SCIM, LTI
Déploiement managé
Compatible Microsoft Intune (PWA managée + Web App)
Dépendances
Lockfile pinné, supply-chain durcie
🚫Ce qui n'est PAS dans la stack

Le choix de ce qu'on retire compte autant que le choix de ce qu'on garde.

Docker en production
moins de couches, moins de surface
Pixels & régies publicitaires
aucun tracking marketing tiers
Sentry SaaS (US)
risque Cloud Act sur logs PII
CDN américain
données en transit hors UE
BaaS managé extra-UE
pas de contrôle sur la donnée
Binaires fermés non auditables
stack 100 % open source
Pour les équipes sécurité

Les détails complets dans le dossier RSSI

Paramètres de chiffrement, matrice RGPD art. 32, sous-traitants, rétentions, configuration TLS, durées de session : tout est dans le PDF. Nous ne publions pas ces détails opérationnels en clair sur le site.

🔒Doctrine de divulgation responsable : détails sensibles réservés au dossier RSSI.
🛡️

Un doute, une question RSSI ou DPO ?

On répond en détail, sans marketing. Vous pouvez aussi télécharger directement le dossier sécurité enrichi.

🛡️ Parler à l'équipe