---
title: "Aperçu de la sécurité · Centre de confiance Syba"
description: "Les mesures de sécurité techniques et organisationnelles que Syba applique en production, et comment signaler une vulnérabilité à l’équipe sécurité."
canonical: https://sybainsurance.com/fr-BE/trust/security
---

Centre de confiance

# Comment nous opérons en production.

Chaque mesure ci-dessous cite le fichier qui la met en œuvre, afin que l'affirmation puisse être vérifiée dans le code livré, et non dans une politique qui décrit autre chose.

- ## Mots de passe

  Jamais conservés en clair. Une empreinte scrypt avec un sel aléatoire de 16 octets par compte, comparée en temps constant. 12 caractères minimum, dont obligatoirement un chiffre et un symbole.

  Source : `lib/auth.ts (hashPassword, verifyPassword, validatePasswordStrength)`
- ## Sessions

  Cookies signés HMAC-SHA256, httpOnly, secure, SameSite=Lax, expirant après 30 jours. Le serveur refuse de démarrer en production sans véritable secret de signature : il n'existe aucun secret de secours sur lequel se rabattre.

  Source : `lib/auth.ts (setSession, SECRET resolver)`
- ## Transport

  HSTS avec preload et includeSubDomains, X-Frame-Options DENY, X-Content-Type-Options nosniff, une Content-Security-Policy qui limite les sources script/style/connect à une liste d'autorisation nommée, Cross-Origin-Opener-Policy same-origin, et une Permissions-Policy qui refuse par défaut la caméra, le microphone, la géolocalisation et l'USB.

  Source : `lib/csp.ts, middleware.ts`
- ## Résidence des données (RGPD)

  Pour les acteurs de l'UE, les requêtes IA ne sont jamais acheminées vers un fournisseur de modèle dont la juridiction d'origine ne bénéficie d'aucune décision d'adéquation de l'UE : appliqué en mode fail-closed dans le code à partir d'une source de vérité unique et couvert par des tests. Il s'agit d'un plancher juridictionnel, pas d'une évaluation complète des transferts au titre du chapitre V du RGPD pour chaque fournisseur encore concerné.

  Source : `lib/llm-residency.ts, __tests__/eu-residency.test.ts`
- ## Limites des requêtes IA

  Chaque requête à l'agent est limitée en débit par IP, bornée à un nombre fixe d'appels d'outils et interrompue par une limite de temps stricte de moins d'une minute. Le contenu non fiable (le corps d'un e-mail, une page lue par un audit) est encadré par des délimiteurs et le modèle a pour instruction de le traiter comme des données, jamais comme des instructions.

  Source : `app/api/agent/route.ts, app/api/extension/email-scan/route.ts`
- ## Documents téléversés

  Les fichiers du coffre-fort sont vérifiés en lisant les premiers octets réels de chaque fichier plutôt qu'en se fiant au type déclaré, avec un plafond par membre de 50 documents et 250 MiB, 4.5 MB par fichier.

  Source : `lib/document-limits.ts, lib/documents.ts`
- ## Suppression

  Une demande de suppression vérifiée purge chaque stockage que ce dépôt suit pour cet e-mail : les lignes du compte personnel et chaque licence d'organisation qu'il a détenue : le tout détaillé sur la page conservation. Les lignes d'audit ne gardent qu'une empreinte à sens unique de l'auteur de l'action, jamais l'e-mail en clair.

  Source : `lib/data-stores.ts, lib/erase-user.ts, lib/org-deletion.ts`

## Signaler une vulnérabilité

Nous publions un fichier de divulgation conforme à la RFC 9116 à l'adresse [`/.well-known/security.txt`](https://sybainsurance.com/.well-known/security.txt). Les signalements sont à envoyer à [security@syba.io](mailto:security@syba.io), où ils sont examinés. La recherche de bonne foi dans le périmètre relève de notre politique de safe harbor : aucune poursuite pour des tests qui évitent les atteintes à la vie privée et les interruptions de service, ne touchent que des comptes qui vous appartiennent, et nous laissent un délai raisonnable pour corriger avant toute divulgation publique.

Les prestataires sont listés sur [sous-traitants](https://sybainsurance.com/fr-BE/trust/subprocessors). Ce que chaque niveau envoie hors de l'appareil figure sur [flux de données](https://sybainsurance.com/fr-BE/trust/data-flow). Les clients Enterprise peuvent demander un [accord de traitement des données](https://sybainsurance.com/fr-BE/trust/dpa) signé.

## Autres pages du centre de confiance

- [Centre de confiance](https://sybainsurance.com/fr-BE/trust)
- [Flux de données](https://sybainsurance.com/fr-BE/trust/data-flow)
- [Sous-traitants](https://sybainsurance.com/fr-BE/trust/subprocessors)
- [Conservation](https://sybainsurance.com/fr-BE/trust/retention)
- [Accord de traitement des données](https://sybainsurance.com/fr-BE/trust/dpa)