Security

Security

Dernière mise à jour : juillet 2026

Signalement de vulnérabilité

Envoyez vos rapports à [email protected]. Accusé de réception sous 72 heures ouvrées.

Nous ne poursuivrons pas un chercheur en sécurité qui agit de bonne foi, respecte la loi et nous communique les vulnérabilités en privé avant toute divulgation publique (safe harbour).

Ce que nous stockons

Des identifiants techniques pseudonymisés, conservés 13 mois maximum, et des événements conservés 90 jours. L'adresse IP est traitée transitoirement puis HMACée dans les registres applicatifs concernés.

Le stockage applicatif transactionnel est hébergé en France. Stripe et le prestataire email peuvent traiter certaines données selon les localisations et garanties publiées dans le registre des sous-traitants.

Chiffrement

  • Secrets de site : scrypt
  • Mots de passe : bcrypt (coût 12, pepper côté serveur)
  • Secrets TOTP : AES-256-GCM
  • Empreintes machine : SHA-256
  • Signatures HMAC : SHA-256

Authentification

Email + password, with TOTP enable-able from Settings (required at sign-in once enabled). 24-hour revocable sessions. httpOnly session cookies, SameSite Strict.

Hébergement

The application and its primary storage are hosted by HG-HOSTING SAS in Nozay, France. Payment and email providers may process required data in the locations and under the safeguards listed in the subprocessors register.

Our limits

Shugoi is an anti-abuse application firewall: it flags signs of automation and risky environments, then applies configured rate-limit, challenge and allowlist rules.

  • It does not inspect requests for application attack signatures (SQLi, XSS, injections): pair it with a signature WAF, for example a Cloudflare® WAF.
  • It is neither an edge CDN/DNS nor a mass-DDoS absorber.
  • It does not detect non-automated or residential scrapers that leave no trace of automation.

It first answers a question: "is it the same machine as last time?" See the "What Shugoi doesn't do" on the homepage.

Cloudflare, the Cloudflare logo, and Cloudflare Workers are trademarks and/or registered trademarks of Cloudflare, Inc. in the United States and other jurisdictions.