Sécurité

Où se trouvent vos données

L'application et ses bases de données fonctionnent dans l'UE, à Nuremberg, en Allemagne.

Les fichiers que vous téléversez sont stockés dans Cloudflare R2, dans la région Europe de l'Ouest de Cloudflare. Ils sont diffusés par le réseau de Cloudflare : un fichier peut donc être servi depuis un emplacement proche de la personne qui le demande.

Vos données sont séparées de celles de tous les autres clients

Fóir décide qui peut lire et écrire chaque ligne dans la base de données elle-même, grâce à la sécurité au niveau des lignes. L'endroit habituel pour cette vérification est une couche d'API au-dessus de la base de données, et c'est là que la plupart des plateformes sont les plus faibles. Nos règles sont compilées à partir d'une seule spécification par Demesne, notre moteur open source, et la sécurité au niveau des lignes est forcée sur chaque table que la spécification régit. Un test liste chaque table de notre schéma et échoue pour toute table ajoutée sans qu'une décision consignée précise comment elle est protégée.

Une vérification dans une couche d'API ne couvre que les chemins que quelqu'un a pensé à protéger. Une règle dans la base de données couvre aussi les chemins que personne n'a pensé à protéger, y compris le code écrit plus tard et celui que nous écrivons nous-mêmes. Vous en saurez plus sur la page consacrée à l'application des règles dans la base de données.

Chiffrement

En transit, toute connexion externe utilise TLS.

Au repos, les fichiers que vous téléversez sont chiffrés par Cloudflare R2.

Les secrets que vous stockez dans Fóir, comme les identifiants de vos propres intégrations, sont chiffrés avec AES-256-GCM avant d'être écrits. Lister vos secrets renvoie leurs noms et leurs dates, pas leurs valeurs. L'assistant et les outils des agents peuvent stocker et lister des secrets, mais ils ne peuvent pas en relire un. Une valeur n'est renvoyée qu'à un appelant qui détient la permission de lecture sur ce secret, et chaque lecture est enregistrée.

Sauvegardes et reprise

Les bases de données de production sont sauvegardées en continu, avec restauration à un instant donné. Nos objectifs sont au plus une heure de perte de données et au plus quatre heures pour rétablir le service.

Nous répétons aussi les restaurations.

Disponibilité

Nous ne publions pas encore de SLA de disponibilité. L'état actuel et les incidents passés figurent sur notre page de statut, status.foir.io.

Signaler une vulnérabilité

Écrivez à info@foir.io. Dites-nous ce que vous avez trouvé et comment le reproduire, et laissez-nous le temps de le corriger avant de le rendre public.

Conformité

Nous ne sommes pas certifiés SOC 2.

Nous proposons un accord de traitement des données (DPA) sur demande : écrivez à info@foir.io. Chaque sous-traitant que nous utilisons est listé sur la page de confidentialité.