Sécurité

Documentation de Sécurité pour le Bot

---

1. Gestion des Données Utilisateurs

• Le bot ne conserve aucune donnée utilisateur identifiable dans sa base de données.
• Il n’existe aucun concept de "compte" utilisateur associé au bot. Cependant, les utilisateurs doivent se connecter via OAuth pour valider leurs permissions sur le site. Cette autorisation est uniquement destinée à vérifier l’identité et les droits de l’utilisateur, sans impliquer la création d’un compte ni la sauvegarde de son identifiant.
• Les journaux (à des fins d’audit ou de détection d’attaques) sont supprimés toutes les 48 heures pour minimiser les risques.
• Une politique de confidentialité détaillant la gestion des données et des journaux est disponible à l’adresse suivante : https://logscord.xyz/privacy.

2. Gestion des Adresses IP

• Les adresses IP ne sont pas liées aux utilisateurs Discord dans les journaux.
• Les adresses IP sont uniquement utilisées pour :
• Appliquer des limites de taux (à des fins anti-DDoS).
• Bloquer les scrapers malveillants.
• L’accès aux IP est réservé au panneau de contrôle Cloudflare.

3. Chiffrement et Sécurité des Données

• La base de données est entièrement chiffrée.
• Les données sur disque sont chiffrées au repos pour garantir une sécurité maximale.
• Des sauvegardes régulières des données sont effectuées et également chiffrées pour éviter tout accès non autorisé en cas de compromission.
• Des snapshots journaliers des bases de données sont réalisés et stockés dans une base externe sécurisée, accessible uniquement en écriture. La lecture de ces données est impossible sans une clé de chiffrement unique, détenue uniquement par le développeur principal.

4. Système de Protection Contre les Intrusions

• Si une requête anormale ou non autorisée est détectée :
• La base de données se déconnecte immédiatement.
• Une alerte SMS est envoyée au développeur.
• Le site passe en mode "Maintenance de sécurité" pour prévenir tout accès non autorisé.

5. Conformité aux Normes et Réglementations

• Le bot est conforme au RGPD, garantissant une protection rigoureuse des données des utilisateurs.
• L’infrastructure est hébergée chez Thales, un hébergeur souverain français reconnu pour ses solutions de sécurité avancées.
• La conception et la maintenance respectent les exigences de la norme ISO27001.

6. Mesures Supplémentaires de Sécurité

• Pare-feu anti-DDoS : Protège contre les attaques de déni de service distribué en filtrant le trafic malveillant.
• Mitigation automatique des bots malveillants : Redémarrage automatique des services en cas de comportement suspect.
• Monitoring : Surveillance continue des activités et performances pour identifier rapidement les anomalies.
• Anonymisation des logs : Les journaux sont anonymisés pour préserver la confidentialité des utilisateurs.
• Isolation des logs : Chaque client ayant un bot personnalisé dispose de sa propre base de données isolée et séparée.
• Containérisation avec Docker : Docker permet d’isoler chaque instance de bot dans un environnement indépendant, garantissant sécurité et stabilité.
• Gestion des accès avec ACL avancé :
• Par défaut, seuls les administrateurs peuvent consulter le panneau de logs.
• Les membres du staff disposant de la permission "Voir les logs" ne peuvent accéder qu’aux logs des salons qu’ils ont le droit de consulter.
• Il est possible de configurer les permissions de manière avancée pour s’adapter aux besoins spécifiques des clients.

7. Threat Model et Garanties

• Modèle de Menaces (Threat Model) :
• Protéger contre les attaques de type DDoS grâce à des limites de taux et un pare-feu performant.
• Empêcher l’accès non autorisé aux données via le chiffrement des bases et des sauvegardes.
• Prévenir les injections SQL ou autres attaques applicatives grâce à une validation stricte des entrées.
• Détecter les comportements anormaux ou les intrusions grâce à un système de monitoring avancé.
• Garanties :
• Les données utilisateur, incluant les journaux, sont anonymisées et protégées par des standards élevés de sécurité.
• Une séparation stricte des environnements assure qu’aucun client n’a accès aux données d’un autre.
• Une réponse rapide et efficace est garantie en cas d’incident, avec des notifications claires aux clients impactés.

8. Réponse aux Incidents

• En cas de violation de sécurité ou d’attaque réussie :
• Une enquête est immédiatement lancée pour identifier et corriger la faille.
• Les clients impactés sont notifiés rapidement avec des explications claires et des mesures correctives proposées.
• Des ajustements sont effectués pour éviter que l’incident ne se reproduise.

9. Audits et Conformité

• Des audits de sécurité externes et des tests de pénétration sont réalisés périodiquement pour valider les mesures de sécurité en place.
• Ces audits garantissent une amélioration continue et une conformité aux meilleures pratiques de l’industrie.

10. Engagement du Développeur

• La confiance des utilisateurs est une priorité absolue. Toute action compromettant cette confiance est proscrite.
• Aucune donnée ne sera jamais partagée ou exploitée à des fins malveillantes.
• Le développeur adopte une posture proactive face aux menaces, incluant des mises à jour régulières pour renforcer la sécurité.

11. Support et Maintenance

• Le bot est régulièrement mis à jour pour corriger les bugs et renforcer la sécurité.
• En cas de problème, le support est disponible pour intervenir rapidement.
• Les services disposent d’un système de redémarrage automatique pour garantir une disponibilité maximale.

12. Autres Mécanismes de Sécurité

• Les logs de sécurité sont configurés pour capturer uniquement les requêtes bloquées, limitant ainsi la quantité d’informations sensibles stockées.
• Toute modification ou mise à jour de la politique de confidentialité sera communiquée via la commande /privacy.

---

Cette documentation garantit que le bot est conçu et opéré avec les plus hauts standards de sécurité, protégeant ainsi les utilisateurs et renforçant la confiance des clients. Ce document est réservé à des fins de documentation de sécurité concernant le projet et l'infrastructure pour les clients curieux. Pour toute question supplémentaire, n’hésitez pas à contacter le développeur.