Sécurité et localisation
Un service de sauvegarde détient la copie la plus complète d’une entreprise qui existe où que ce soit. Voici où elle se trouve, qui peut la lire, et ce qui la protège.
Où sont vos sauvegardes
Les sauvegardes sont stockées en France, sur le stockage objet d’OVHcloud, sous notre propre compte. Une autre région est possible sur demande, pour un client dont les obligations l’exigent.
Rien ne transite par un pays tiers, et aucun fournisseur américain ne détient vos messages. Pour une entreprise française ou européenne, cela répond à la question avant qu’elle soit posée.
Répliquées sur trois zones
Chaque objet que nous écrivons est répliqué sur trois zones de disponibilité indépendantes de la même région. Trois bâtiments distincts, avec leur alimentation et leur réseau propres : perdre un centre de données entier ne perd pas un octet.
C’est le seul niveau de durabilité que nous vendons. Un niveau une zone, moins cher, a existé et n’existe plus : sur un produit dont le métier est d’être là le plus mauvais jour, l’économie ne valait pas la phrase qu’il aurait fallu prononcer ensuite.
- Elles protègent d’une panne matérielle, d’un incendie, d’une inondation, de la perte d’un site entier.
- Elles ne protègent pas d’une suppression, parce qu’une suppression se réplique fidèlement. C’est à cela que sert la sauvegarde elle-même : un message retiré de votre serveur reste ici.
Vos identifiants de messagerie
Le mot de passe d’application de chaque boîte est chiffré avant d’être stocké, avec une clé qui vit dans l’environnement et jamais dans la base. Il n’est déchiffré qu’au moment de se connecter, et ne se réaffiche jamais : le changer demande de le ressaisir.
La connexion à votre serveur de messagerie est en lecture seule. istorel n’ouvre jamais de session capable d’écrire ou de supprimer, ce qui borne ce qu’une compromission de notre propre service pourrait faire : elle lirait, elle ne détruirait pas.
Les numéros de carte ne nous parviennent jamais. Le formulaire de carte est celui de Stripe, et nous ne détenons rien qui puisse être rejoué.
Qui peut lire quoi
Les mots de passe sont hachés avec argon2id. Les sessions se révoquent, et changer un mot de passe fait tomber toutes les sessions de la personne, y compris la courante.
À l’intérieur de votre compte, trois niveaux bornent ce que chacun voit : tout le compte, une organisation, ou des boîtes choisies. Donner accès à une boîte, c’est donner son contenu, et l’interface le dit avant que vous confirmiez.
L’authentification à deux facteurs par application est annoncée et pas encore disponible. Nous préférons l’écrire ici que vous laisser supposer le contraire.
Supprimer un compte
Demander la suppression arrête les sauvegardes immédiatement, et la facturation avec elles. Vos données restent téléchargeables quatorze jours, puis tout est détruit : index, paquets, seau, journal.
Un lien dans le courriel de confirmation annule la demande jusqu’au dernier jour. La destruction immédiate est possible aussi, en cinq étapes explicites, parce que rien ne se rachète ensuite.
Nous conservons vos factures, que la loi comptable nous impose de garder. Rien d’autre.