Informations de sécurité

Des informations de sécurité vérifiables

Cette page décrit les contrôles présents dans l’application Djib-Payroll actuelle et précise leurs limites sans formuler de déclarations de conformité plus larges.

Dernière mise à jour : 4 septembre 2026

Contrôles applicatifs

Contrôles présents dans le service actuel

Ces déclarations se limitent aux comportements vérifiés dans la configuration active et le code de l’application.

01

Accès au compte

Les mots de passe sont hachés. Les routes réservées aux comptes vérifiés imposent la vérification de l’adresse e-mail. L’authentification à deux facteurs par application est disponible, mais elle n’est pas obligatoire pour tous les utilisateurs.

02

Séparation des entreprises

Les routes d’une entreprise exigent l’adhésion à l’organisation sélectionnée, et les permissions de rôle sont vérifiées pour les opérations de paie et d’employés.

03

Bulletins et documents

Les fichiers de paie et de facturation générés sont stockés hors du répertoire web public. Le téléchargement d’un bulletin exige un utilisateur authentifié, une URL signée valide et non expirée, ainsi qu’une autorisation pour l’employé et l’entreprise concernés.

04

Sessions du navigateur

La production utilise des cookies de session réservés à HTTPS, inaccessibles à JavaScript et configurés avec SameSite=Lax. L’identifiant de session est renouvelé à la connexion et invalidé à la déconnexion.

05

Actions enregistrées

Les connexions réussies ou échouées, les déconnexions, les réinitialisations de mot de passe, la vérification de l’adresse e-mail, le cycle de vie de la 2FA, les changements de rôles privilégiés et les principales actions de paie, de facturation, de téléchargement et de plateforme créent des enregistrements sans stocker les mots de passe, jetons, secrets 2FA ni codes de récupération.

06

Récupération du mot de passe

Les jetons de réinitialisation expirent après 60 minutes. En production, le mot de passe doit contenir au moins 12 caractères, avec des majuscules, des minuscules et des chiffres.

Infrastructure d’hébergement

Infrastructure Hetzner à Helsinki

Hetzner indique que son système de gestion de la sécurité de l’information couvrant ses services d’hébergement et ses centres de données, dont Helsinki, est certifié ISO/IEC 27001:2022.

Page de certification Hetzner Voir le certificat Hetzner

Limites actuelles

Déclarations que nous ne formulons pas

  • L’authentification à deux facteurs est disponible, mais elle n’est pas actuellement imposée à tous les comptes ni à tous les administrateurs de la plateforme.
  • L’application de la 2FA aux utilisateurs privilégiés peut être configurée avec une date d’activation future, mais reste désactivée tant qu’elle n’est pas explicitement activée après une période d’inscription.
  • Djib-Payroll ne déclare pas être conforme au RGPD, disposer de sauvegardes chiffrées, de durées de conservation fixes, de tests d’intrusion achevés ou d’une certification ISO indépendante.

Signaler un problème

Signalement responsable de sécurité

Signalez une vulnérabilité ou un incident suspecté avec assez de détails pour permettre une enquête. N’incluez pas de données de paie ni de mots de passe dans votre courriel.

security@djib-payroll.com