Sécurité

Sécurité

Dernière mise à jour : juillet 2026

Signalement de vulnérabilité

Envoyez vos rapports à [email protected]. Accusé de réception sous 72 heures ouvrées.

Nous ne poursuivrons pas un chercheur en sécurité qui agit de bonne foi, respecte la loi et nous communique les vulnérabilités en privé avant toute divulgation publique (safe harbour).

Ce que nous stockons

Des identifiants techniques pseudonymisés, conservés 13 mois maximum, et des événements conservés 90 jours. L'adresse IP est traitée transitoirement puis HMACée dans les registres applicatifs concernés.

Le stockage applicatif transactionnel est hébergé en France. Stripe et le prestataire email peuvent traiter certaines données selon les localisations et garanties publiées dans le registre des sous-traitants.

Chiffrement

  • Secrets de site : scrypt
  • Mots de passe : bcrypt (coût 12, pepper côté serveur)
  • Secrets TOTP : AES-256-GCM
  • Empreintes machine : SHA-256
  • Signatures HMAC : SHA-256

Authentification

E-mail + mot de passe, avec TOTP activable depuis Réglages (exigé à la connexion une fois activé). Sessions de 24 heures, révocables. Cookies de session httpOnly, SameSite Strict.

Hébergement

L'application et son stockage principal sont hébergés par HG-HOSTING SAS à Nozay, France. Les prestataires de paiement et d'email peuvent traiter les données nécessaires dans les zones et selon les garanties indiquées au registre des sous-traitants.

Nos limites

Shugoi est un pare-feu applicatif spécialisé anti-abus : il signale des indices d'automatisation et d'environnement à risque, puis applique les règles configurées de limitation, challenge et liste d'autorisation.

  • Il n'analyse pas les requêtes à la recherche de signatures d'attaques applicatives (SQLi, XSS, injections) : associez-le à un WAF à signatures, par exemple un WAF Cloudflare®.
  • Ce n'est ni un CDN/DNS périphérique ni un absorbeur de DDoS de masse.
  • Il ne détecte pas les scrapers non automatisés ou résidentiels qui ne laissent aucune trace d'automatisation.

Il répond d'abord à une question : « est-ce la même machine que la dernière fois ? » Voir la section « Ce que Shugoi ne fait pas » sur la page d'accueil.

Cloudflare, the Cloudflare logo, and Cloudflare Workers are trademarks and/or registered trademarks of Cloudflare, Inc. in the United States and other jurisdictions.