Sécurité et confidentialité

Cette page décrit ce que Host fait pour protéger tes projets, tes secrets, les sites qu’il sert et les visiteurs de ces sites. Elle ne remplace pas ton analyse de risque. Pour une question précise sur le traitement de tes données personnelles, écris à support@hgdc.ch.

Accès

• La connexion passe uniquement par HGDC. Host ne garde aucun mot de passe.
• Chaque action vérifie ton rôle dans l’organisation : propriétaire, admin ou membre. Voir Organisations et rôles.
• Une clé d’API ne donne accès qu’à une organisation. Une clé posée dans un dépôt ne donne accès qu’à son projet.
• Les dépôts GitHub ne s’importent que si tu as le droit d’écriture. L’app GitHub ne demande que les droits dont le workflow a besoin.

Secrets

• Les valeurs des variables sont chiffrées dans un coffre. Chaque organisation a sa propre clé. Voir Secrets et coffre.
• Les clés d’API ne sont stockées que sous forme d’empreinte SHA-256. La clé complète ne s’affiche qu’une fois.
• Une variable sensible ne se relit jamais après l’enregistrement, et ne part que vers le build du dépôt.
• Le journal du coffre garde qui a créé, modifié, lu ou téléchargé une variable. Il ne garde jamais la valeur. Il garde un an les gestes des personnes, et les 200 derniers téléchargements par une clé d’API pour chaque projet.

Sites servis

• HTTPS partout, avec un certificat automatique pour chaque domaine vérifié. Un certificat n’est émis que pour un domaine vérifié.
• Chaque réponse porte l’en-tête X-Content-Type-Options: nosniff.
• Les fichiers cachés, comme .env ou .git, ne sont jamais servis, sauf .well-known.
• Les configurations et les sources d’un framework ne sont jamais servies. Seul le résultat du build l’est.

Données et journaux

• Les logs des requêtes ne gardent ni adresse IP, ni en-têtes, ni paramètres d’URL. Ils disparaissent après 24 heures.
• Les logs de build gardent les 1000 premières et les 1000 dernières lignes de chaque build. Ils sont effacés 30 jours après un build annulé, 90 jours après une erreur, 180 jours après une preview et 1 an après une production. Seuls les 20 derniers déploiements d’un projet gardent leurs logs. Ceux de la production en ligne ne sont jamais effacés. Voir Limites.
• Host efface aussi les anciens déploiements, avec leurs fichiers publiés et leurs logs de build. La durée est fixée par projet, sauf pour la production en ligne et quelques versions récentes. Voir Déploiements.
• Les valeurs des variables ne figurent dans aucun journal.

Ta connexion

Quand tu te connectes à Host, il garde l’adresse IP et le navigateur de ta session. Ils servent à protéger ton compte. Ils sont effacés quand tu te déconnectes, ou au plus tard une heure après la fin de la session. Une session dure 7 jours.

Pour limiter les essais de connexion, l’adresse IP est aussi gardée dans un compteur, deux heures au plus.

Assistant

• L’assistant lit avec tes droits : projets, déploiements, domaines et noms de variables. Jamais une valeur de variable ni une clé d’API.
• Les journaux de build ne lui sont ouverts que si une personne admin l’active. Host masque avant l’envoi les valeurs des variables du projet et les jetons reconnaissables.
• Redéployer, mettre en production, revenir en arrière, changer un domaine ou supprimer une variable attend toujours ton clic sur la carte qu’il propose.
• Tes questions, ce que lisent les outils et les réponses partent chez Infomaniak, en Suisse, ou chez Amazon Bedrock dans l’Union européenne (modèle Claude). Jamais aux États-Unis.
• Les conversations restent dans Host. Elles sont effacées après 90 jours sans activité, et avec l’organisation si elle est supprimée.

Voir Utiliser l’assistant.

Signaler une faille

Tu penses avoir trouvé une faille ? Écris à support@hgdc.ch, avec les étapes pour la reproduire. Pour rester dans le cadre de la divulgation responsable :

• n’accède pas aux données d’une autre organisation, même pour démontrer la faille ;
• ne teste pas la charge de la plateforme ;
• ne publie pas la faille avant qu’elle soit corrigée.