Comment Zyre est construit, et ce qu'il ne voit pas

L'architecture, en une phrase

Zyre est un reverse-proxy. Votre domaine pointe vers nos serveurs ; chaque requête y est inspectée avant d'être relayée à votre serveur, appelé l'origine. Aucun code ne s'exécute chez vous, et nous n'avons aucun accès à votre serveur, à vos fichiers ni à votre base de données.

visiteur → TLS → pare-feu applicatif → votre origine

Ce que nous conservons — et ce que nous ne conservons pas

La durée de conservation dépend de votre formule et figure dans votre tableau de bord. L'export et la suppression sont en libre-service.

Hébergement et données personnelles

Les données de l'application sont hébergées en Suisse, chez Infomaniak Network SA (Genève) — pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat. Le transport est chiffré en TLS, le stockage est chiffré au repos au niveau de l'infrastructure. Un accord de traitement des données conforme à l'article 28 du RGPD est publié, sans demande préalable.

Sécurité de votre compte

• Second facteur par application d'authentification (TOTP) ou par e-mail. Le QR d'enrôlement est encodé par nos soins et ne transite par aucun tiers.
• Session portée par un cookie signé, HttpOnly et Secure, avec protection CSRF sur toutes les mutations.
• Politique de mot de passe avec liste de mots de passe interdits, et alerte envoyée au titulaire en cas de tentatives répétées.
• Changement d'adresse e-mail en deux temps, avec avertissement envoyé à l'ANCIENNE adresse avant tout changement — le seul canal qui atteigne encore le titulaire si sa session a été volée.
• Équipes à portée limitée : un membre peut être restreint à certains sites, et cette restriction s'applique aux données comme aux réglages.

Ce que nous ne savons pas faire

Une page sécurité qui n'énumère que des garanties n'informe de rien. Voici les limites que nous assumons, écrites ici plutôt que découvertes en incident.

• Nous ne protégeons pas d'une attaque volumétrique de niveau réseau. Si votre lien est saturé, les paquets sont perdus en amont et aucun filtre applicatif ne s'exécute.
• Nous ne lisons pas votre serveur. Un fichier modifié, un compte administrateur créé chez vous, une porte dérobée déposée par un autre chemin : nous ne les voyons pas.
• Un corps de requête déclaré binaire n'est pas inspecté. Il arrive à votre origine comme un fichier, pas comme une valeur de formulaire.
• La terminaison TLS et le routage reposent aujourd'hui sur une infrastructure à site unique. Nous ne vendons pas de haute disponibilité multi-région, et nous ne la sous-entendons pas.