Surfaces d’accès
Site public, portail client et surfaces owner/admin sont des domaines de confiance séparés.
Frontière vérifiée
SECURITY ASSURANCE
La sécurité doit être vérifiable.
EPTT dispose d’une base vérifiée pour les sessions, CSRF, l’isolation client, le contrôle des releases et la surface de sécurité publique. MFA, recovery, chiffrement au repos, rétention des logs, backup et processus incident restent ouverts jusqu’à leur documentation.
Identité & session
Sessions serveur, protection CSRF, contrôles de cookie sécurisé, expiration et révocation sont implémentés.
Vérifié
Autorisation & frontières client
Données client et téléchargements suivent des customer-party grants et release grants explicites.
Vérifié
Release & changements
Release déployée, artifact hash, live checks et chemin de rollback sont suivis dans la chaîne contrôlée.
Vérifié
SECURITY VERIFICATION
Sécurité documentée. Points ouverts clairement indiqués.
EPTT dispose d’une base vérifiée pour les sessions, CSRF, l’isolation client, le contrôle des releases et la surface de sécurité publique. MFA, recovery, chiffrement au repos, rétention des logs, backup et processus incident restent ouverts jusqu’à leur documentation.
01
Authentication & MFALe login password/session est actif. MFA/2FA, account recovery et step-up authentication ne sont pas encore vérifiés.
Partiellement documenté
02
Cycle de sessionExpiration à 30 jours, logout, invalidation des utilisateurs bloqués et révocation centralisée sont implémentés.
Vérifié
03
Modèle d’autorisationSurfaces owner/admin et client sont séparées ; l’accès client suit des grants explicites.
Vérifié
04
Encryption & secretsTLS et la surface publique sont vérifiés. Chiffrement au repos et politique de rotation des clés restent ouverts.
À clarifier
05
Audit & retentionLes actions login et release créent des audit records. La politique de rétention/suppression reste ouverte.
Partiellement documenté
06
Vulnerability & updatessecurity.txt et le flux de contact sécurité sont live. Triage et patch cadence restent ouverts.
Partiellement documenté
07
Sécurité backupChiffrement backup, accès restore et cadence des tests de restauration restent ouverts pour le modèle final.
À clarifier
Une exigence de sécurité concrète ?
Utilisez le dialogue technique pour les exigences d’accès, frontières réseau, logging, déploiement ou documentation.