Sécurité

AuPoint aide les organisations à sécuriser et à mettre en conformité leur parc Microsoft Intune. Un tel outil manipule des données sensibles : nous appliquons donc à notre propre produit les principes que nous recommandons à nos clients — moindre privilège, défense en profondeur, chiffrement de bout en bout et traçabilité. Cette page décrit concrètement comment AuPoint est développé, hébergé et exploité.

• Aucune modification n'atteint la production directement : tout changement passe par une pull request sur un dépôt versionné (Git).
• Revue de code (code review) obligatoire avant fusion : chaque pull request est relue, avec une analyse de sécurité dédiée sur les parties sensibles.
• Intégration continue : à chaque pull request, la base de code est vérifiée automatiquement (typage strict TypeScript, tests unitaires, build) ; une PR ne peut être fusionnée que si tout est au vert.
• Environnements de test et de production strictement séparés : les développements et les recettes se font sur des environnements dédiés, isolés des données de production, avec leurs propres bases et secrets.
• Gestion des secrets : aucun secret n'est stocké dans le code. Les clés et identifiants sont injectés via des variables d'environnement chiffrées, avec des valeurs distinctes par environnement.
• Analyse statique de code (SAST) à chaque pull request : revue de sécurité automatisée par IA (Claude) et GitHub Security (code scanning), pour détecter les failles avant la fusion.
• Dépendances surveillées et tenues à jour automatiquement via Dependabot (alertes de vulnérabilité et correctifs proposés en continu).
• Garde-fous en dur dans le code pour les opérations destructives (voir plus bas).

• Connexion exclusivement via le SSO Microsoft (Entra ID) : AuPoint ne gère ni ne stocke aucun mot de passe.
• Accès à Microsoft Graph en application-only, avec le strict minimum de permissions nécessaires (moindre privilège).
• Rôles et permissions (RBAC) : chaque action est contrôlée selon le rôle (propriétaire, administrateur, lecteur) et cloisonnée par tenant.
• Compte de secours (bris-de-glace) toujours exclu des règles d'accès conditionnel, pour éviter tout verrouillage.

• Aucun jeton d'accès de vos utilisateurs ni secret client Microsoft n'est conservé en base.
• Chiffrement au repos : base de données chiffrée (AES-256) au niveau disque, plus un chiffrement supplémentaire au niveau des champs sensibles (journaux d'audit, inventaire des appareils, politiques scannées) en AES-256-GCM.
• Chiffrement en transit : tous les flux sont en TLS 1.2 ou supérieur.
• Journal d'audit en ajout seul (append-only) : chaque action d'écriture est tracée avec son auteur et son horodatage, sans possibilité de modification.
• Garde-fou de suppression : avant toute suppression dans votre tenant (application, groupe, politique), AuPoint vérifie que l'objet a bien été créé par AuPoint ; à défaut, la suppression est refusée. Nous ne pouvons jamais toucher une ressource que nous n'avons pas créée.
• Cloisonnement multi-tenant strict et budget d'usage IA plafonné par organisation.

L'application et la base de données sont hébergées dans l'Union européenne (Francfort). Les traitements Microsoft (identité, Graph) restent dans le périmètre Microsoft. Les transferts hors UE éventuels sont encadrés par des clauses contractuelles types et, le cas échéant, le Data Privacy Framework UE-États-Unis.

AuPoint s'appuie sur des services d'infrastructure reconnus, qui publient leurs propres certifications de sécurité :

Les certifications citées sont celles publiées par les fournisseurs concernés ; se référer à leurs centres de confiance respectifs pour les attestations à jour.

Des tests de vulnérabilité continus sont opérés via HostedScan (analyses OWASP, réseau et TLS), sans traitement de données client. La disponibilité et les erreurs applicatives sont surveillées en continu, et le journal d'audit permet de retracer chaque action.

AuPoint est conçu pour aider ses clients à s'aligner sur les référentiels ISO 27001, NIS2 et RGPD : les contrôles déployés sont mappés à ces cadres, et les rapports mesurent la couverture. AuPoint agit en qualité de sous-traitant (art. 28 RGPD) pour les données de votre tenant, votre organisation en restant responsable de traitement.

Vous pensez avoir découvert une vulnérabilité ? Contactez-nous à support@shelaon.com avec les détails permettant de la reproduire. Nous accusons réception rapidement et traitons les signalements en priorité. Merci de ne pas divulguer publiquement une faille avant sa correction.