Sécurité

Moins à attaquer, par construction

Des en-têtes de sécurité que vous pouvez lire vous-même

Chaque réponse servie par le site porte un jeu d'en-têtes strict dès le premier jour, et rien de tout cela n'est secret : ouvrez les outils de développement de votre navigateur sur cette page et lisez-les.

• Une véritable politique de sécurité du contenu. Les scripts ne s'exécutent que depuis l'origine du site plus les quelques services nommés qu'il utilise réellement ; chaque script en ligne est épinglé individuellement par un hachage cryptographique. Un script injecté est refusé par le navigateur avant même de s'exécuter.
• Une sécurité de transport stricte. Les navigateurs reçoivent la consigne de ne parler au site que sur une connexion chiffrée, en permanence, si bien qu'une attaque par déclassement n'a rien à déclasser.
• Ni reniflage de contenu, ni mise en cadre. Les réponses déclarent leur type et refusent toute réinterprétation, et le site ne peut pas être chargé dans le cadre d'une page hostile pour un détournement de clic.
• Une politique de référent qui respecte les visiteurs. Les liens sortants ne divulguent pas l'adresse complète que lisait un visiteur.
• Garanti par la suite de tests. Le jeu d'en-têtes est vérifié à chaque modification, si bien qu'une régression fait échouer la compilation au lieu de passer en silence.

Des défenses de formulaire en couches

Le message arrive vraiment

Le mode d'échec silencieux des formulaires de contact n'est pas le spam qui entre ; c'est le vrai courrier qui ne sort pas. Un message envoyé depuis un domaine non vérifié atterrit dans les indésirables, et personne ne s'en aperçoit jusqu'à ce qu'un client mentionne n'avoir jamais eu de réponse. Chaque site que nous exploitons envoie depuis un domaine d'expédition correctement vérifié, avec les enregistrements d'authentification que les fournisseurs de messagerie contrôlent avant de faire confiance à un message. La délivrabilité est vérifiée à chaque publication, si bien qu'une configuration d'envoi qui casse est repérée par nous au déploiement, pas découverte par vous un mois plus tard dans des demandes perdues.

Privé par défaut, les secrets tenus à l'écart

• Aucun traceur sans votre demande. Rien de tiers ne se charge par défaut, et le seul outil d'analyse que nous installons se passe de cookies, ce qui signifie aussi aucune bannière de consentement pour encombrer votre première impression. Vous pouvez vérifier cette absence dans le panneau réseau, maintenant.
• Les visiteurs ne sont pas un inventaire. Le site ne collecte rien au-delà de ce qu'un visiteur tape dans le formulaire pour vous joindre, et cela part vers votre boîte de réception, pas dans une base marketing.
• Les secrets ne vivent jamais dans le code. Les clés et identifiants restent dans un coffre-fort dédié et atteignent le site en fonctionnement comme configuration d'environnement. Rien de sensible n'est un fichier du dépôt, donc rien de sensible ne fuite avec le code.
• Les déploiements laissent une trace. Chaque modification du site en ligne est un commit relu avec une suite de tests au vert derrière lui, et la version précédente reste à un pas si quelque chose doit un jour être annulé.

Tout ce que comprend un projet de site web Vitesse et recherche, par construction Ce qu'il advient d'un message que vous nous envoyez