Sécurité

Weli est conçu selon le principe de la défense en profondeur. Chaque couche (connexion, authentification, infrastructure, applications, paiements) ajoute des protections. Ce document décrit ce que nous mettons en œuvre à ce jour, ce qui est en cours de déploiement, et la procédure si vous découvrez une vulnérabilité.

Communications chiffrées en transit

Toutes les applications publiques utilisent systématiquement HTTPS, sans contournement HTTP en clair.

• Certificats : Let's Encrypt, renouvellement automatique.
• Version TLS : 1.2 au minimum, 1.3 privilégié.
• HSTS est actif sur l'ensemble des domaines publics : un navigateur qui a visité une fois le site refuse ensuite toute connexion non chiffrée.
• Une politique de sécurité du contenu (CSP) et les en-têtes anti-cadrage sont en cours de déploiement : ils ne sont pas encore en place.
• Aucun audit de sécurité externe n'a encore été conduit.

Compte unique et authentification

Weli utilise un système d'identification centralisé, conforme au standard OpenID Connect : une seule page de connexion pour toutes les applications, et aucun mot de passe stocké par les applications elles-mêmes.

• Sessions : un jeton d'accès vaut quinze minutes et se renouvelle sans vous déranger. Une session inactive se ferme au bout de trente minutes, et toute session est fermée au bout de huit heures. Ces durées peuvent évoluer.

• PKCE S256 : les applications mobiles utilisent le flux Authorization Code avec PKCE, sans secret client.

• SSO unique : vous pouvez déconnecter toutes vos sessions depuis votre profil.

• Double facteur : l'authentification à deux facteurs n'est pas encore activée. Elle est prévue, sans date annoncée.

Paiements sécurisés (WeliPay, WeliLo, WeliJobs, WeliDays, WeliExpress)

• WeliPay est le portefeuille central, alimentant les paiements.
• Écritures doubles et journalisation via outbox NATS pour audit financier.
• Prestataires de paiement : les paiements sont traités par des prestataires agréés. Vos coordonnées bancaires ou de carte ne transitent jamais par nos serveurs, ni par les pages affichées dans votre navigateur.
• Escrow WeliJobs : cinq états (offre → candidature → exécution → validation → déblocage).

Hébergement et infrastructure

La plateforme est hébergée sur des serveurs dédiés situés en Allemagne, chez un hébergeur européen. Notre objectif à terme est d'héberger les données de chaque pays dans ce pays, à la demande de ce pays. C'est inscrit dans notre feuille de route ; à ce jour, aucune donnée n'est hébergée ailleurs.

Contrôles automatisés :

• Déploiement continu depuis le dépôt de code, sans intervention manuelle sur les serveurs.
• Treize contrôles automatiques bloquent la livraison si un fichier de configuration, une route ou une donnée lue par une application s'écarte des règles du projet.

Bases de données séparées

Chaque microservice dispose de sa propre base de données, séparée des autres services pour limiter l'impact d'une compromission.

Les mots de passe ne sont jamais stockés en clair : seule une empreinte irréversible est conservée, par le système d'identification.

Le chiffrement au repos des volumes et la rotation des clés font partie des travaux en cours ; ils ne sont pas encore en place.

Journaux et traçabilité

Toute action significative (connexion, échec de connexion, paiement, refus, création de clé API, modif admin) produit un événement daté et horodaté.

Durée de conservation des journaux de sécurité : douze mois, comme les journaux techniques (voir /vie-privee).

Responsables habilités

Tout accès à SuperAdmin (admin.welispace.com) ou à la console d'identification (sso.welispace.com) est soumis à habilitation nominative et enregistré.

Divulgation responsable

Nous encourageons toute personne de bonne foi à nous signaler les vulnérabilités qu'elle découvre. Nous ne poursuivrons pas en justice un rapporteur qui :

1. n'exploite pas la faille au-delà de sa vérification raisonnable ;
2. ne divulgue pas publiquement avant que la faille soit corrigée, ou pendant quatre-vingt-dix jours à compter de son signalement ;
3. ne porte pas atteinte à la vie privée, à l'intégrité des systèmes ou à la disponibilité des services ;
4. fournit un rapport détaillé permettant de reproduire et corriger.

Signalement

Adresse dédiée : [email protected]. Aucune clé de chiffrement n'est publiée à ce jour ; si votre rapport contient des éléments sensibles, dites-le et nous conviendrons d'un canal.

Accusé de réception : deux jours ouvrés.

Attendus dans le rapport

• description et conditions de reproduction ;
• impact estimé ;
• correction proposée, si vous en avez une.

Menaces courantes et contre-mesures

• Injection et scripts injectés : les requêtes passent par une couche d'accès aux données qui ne construit pas de requête à la main, et chaque entrée est validée côté serveur avant traitement.
• Compte compromis : une alerte par courriel lors d'une connexion inhabituelle est prévue ; elle n'est pas encore en service.
• Tentatives répétées : la passerelle d'API limite le nombre d'appels par minute, avec des seuils plus stricts sur la connexion et sur les services d'intelligence artificielle. Sur la page de connexion elle-même, le blocage temporaire après plusieurs échecs est configuré mais pas encore appliqué au serveur.

Mises à jour de sécurité

Les correctifs CVE critiques, les correctifs de la couche d'authentification, des bases de données et de TLS sont appliqués au plus vite. Les incidents majeurs sont communiqués via un avis sur WeliSpace.

Incidents de sécurité

1. confinement immédiat ;
2. évaluation de l'impact ;
3. notification à l'autorité de contrôle — la Commission de l'Informatique et des Libertés au Burkina Faso, et l'autorité européenne compétente au titre du RGPD — dans les délais légaux, soit soixante-douze heures à compter de la prise de connaissance ;
4. notification aux personnes concernées, selon procédure validée.

Pour aller plus loin

• Vie privée et droits : /vie-privee.
• Autres questions : /assistance, catégorie « Sécurité ».