Centre de Confiance CRY : Normes Logicielles et d’Infrastructure Défensives

Chez CRY, nous appliquons rigoureusement les principes de « Sécurité par défaut » (Secure by Default) et de « Moindre privilège » (Least Privilege). Seuls les ports, services et droits indispensables restent ouverts.

Plutôt que d’afficher des certifications commerciales non vérifiables, nous mettons en œuvre des mécanismes de protection auditables et éprouvés directement en production.

Tout le trafic web est chiffré via les protocoles TLS 1.3 et TLS 1.2. Les suites cryptographiques obsolètes sont désactivées au niveau du serveur web.

Les identifiants d’accès sensibles, clés d’API et jetons d’intégration en base de données sont chiffrés avec AES-256-GCM ou AES-256-CBC via les clés d’application dédiées.

Les sauvegardes des bases de données sont générées quotidiennement et transférées vers des stockages distants chiffrés, isolés du serveur applicatif.

Nous réalisons régulièrement des tests de restauration pour nous assurer de la parfaite intégrité des données sauvegardées en cas d’urgence.

Les échecs d’authentification, modifications de privilèges, pics d’erreurs 404/403 et exceptions serveur sont tracés avec horodatage précis.

Les mots de passe, données personnelles sensibles et informations de paiement sont systématiquement masqués avant écriture dans les logs.

Les dépendances Composer et npm sont auditées régulièrement contre les référentiels de vulnérabilités connus (CVE, GitHub Advisory) et mises à jour.

Nous appliquons une politique de dépendances minimales, en rejetant les paquets tiers obsolètes ou superflus.

En cas d’anomalie avérée, le composant concerné est immédiatement isolé et les sessions administratives sont révoquées.

Nous menons une analyse approfondie des journaux, déployons les correctifs nécessaires et informons les clients avec transparence.

Pour les applications hébergées sur les serveurs ou comptes cloud du client, la maintenance du système d’exploitation, le pare-feu (UFW) et les accès SSH relèvent du propriétaire de l’infrastructure.

CRY garantit la sécurité applicative du code livré et fournit les recommandations de configuration serveur durcie.

Les modifications sont validées sur des environnements de préproduction distincts. Des suites de tests automatisés (PHPUnit) protègent les règles métier.

Les déploiements en production désactivent les outils de débogage, suppriment les source-maps et préservent l’étanchéité des variables d’environnement.

Si vous identifiez une vulnérabilité dans nos systèmes, merci de nous la signaler de manière confidentielle à security@cry.com.tr avant toute publication.

Nous accusons réception des signalements sous 48 heures et déployons les correctifs vérifiés dans les meilleurs délais.

Les données collectées via nos formulaires sont traitées en toute transparence avec mentions explicites et recueil du consentement.

La gestion des cookies (nécessaires vs analytiques) respecte le choix de l’utilisateur ; aucun traceur analytique n’est activé sans accord préalable.

Les mots de passe d’accès au panneau d’administration doivent être robustes et ne jamais être partagés entre collaborateurs.

Les postes de travail des administrateurs doivent être maintenus à jour et les équipes sensibilisées aux risques de phishing.