Confidentialité et sécurité
Les protections réellement mises en place et leurs limites. Le chiffrement de certains fichiers et la séparation des comptes ne signifient pas que les données sont invisibles pour l’administrateur du serveur.
Mesures de protection en place
🔒 Fichiers OnlyOffice chiffrés au repos
Les fichiers de l’espace Documents sont chiffrés sur le serveur avec AES-256-GCM. Ce n’est pas un chiffrement de bout en bout : le serveur utilise une clé conservée dans sa configuration, les tâches et les notes ne bénéficient pas de ce chiffrement.
🔑 Mots de passe hachés
Les mots de passe de compte et de groupe sont hachés avec les fonctions natives de hachage de mot de passe de PHP; ils ne sont pas enregistrés en clair.
🛡️ Requêtes protégées (CSRF)
Les actions de modification de l’application authentifiée vérifient un jeton CSRF lié à la session.
⚡ Connexion persistante révocable
La session persistante repose sur un cookie HTTP-only et un jeton aléatoire dont seule l’empreinte SHA-256 est stockée dans la base. La déconnexion révoque ce jeton.
🧠 Synthèse traitée côté serveur
La synthèse transmet le document au service Ollama configuré pour l’instance. Avec donc le site hébergé, le traitement n’a pas lieu sur l’ordinateur du visiteur.
👥 Espaces de groupe isolés
Les comptes sont séparés dans l’application. Les tableaux de groupe et leurs contenus sont partagés avec les membres autorisés; l’exploitant ayant accès à la suppression de groupe si nécessaire.
Un journal d’audit pour l'administration
Les événements de connexion et les actions administratives importantes sont consignés avec précision pour garantir la traçabilité.
- Connexions réussies ou refusées, déconnexions
- Actions administratives majeures (création, réinitialisation)
- Historique des derniers événements avec adresse IP et horodatage
Prêt à sécuriser votre travail ?
Ouvrez votre espace personnel Y - To Do et commencez à organiser vos tâches en toute sérénité.