Securite et propriete des donnees

QuoteNode est concu pour les organisations qui considerent leurs donnees commerciales comme un actif strategique. Chaque decision d’architecture privilegie l’isolation, l’auditabilite et le controle.

Isolation single-tenant

Chaque instance QuoteNode fonctionne de maniere totalement isolee. Votre base de donnees, votre stockage de fichiers, votre processus applicatif — rien n’est partage avec d’autres clients. Il n’y a ni melange de donnees multi-tenant, ni pool de connexions partage, ni risque de fuite entre tenants.

Ce n’est pas une promesse marketing de “separation logique”. C’est une isolation concrete a chaque couche.

Deploiement self-hosted

Vous choisissez l’endroit ou vivent vos donnees. Deployez sur votre propre serveur, dans un cloud prive ou dans un reseau ferme sans acces internet. QuoteNode fonctionne entierement hors ligne — aucune telemetrie, aucun callback analytique, aucun ping vers un serveur de licence.

Le systeme est fourni sous forme de conteneurs Docker avec un modele Docker Compose. Vous gardez le controle de l’infrastructure, de la topologie reseau, de la strategie de sauvegarde et du perimetre d’acces.

Authentification et controle d’acces

Controle d’acces base sur les roles (RBAC) avec cinq roles : Admin, Manager, Salesperson, Viewer et Public (pour les liens d’offre).
Verifications d’autorisation par endpoint — chaque appel API est autorise en fonction du role de l’appelant.
Authentification basee sur la session avec cookies chiffres et duree de session configurable.
Authentification a deux facteurs (TOTP) — facultative pour tous les utilisateurs, imposable aux administrateurs.
Protection contre la force brute — verrouillage du compte apres 5 echecs consecutifs de connexion (cooldown de 30 minutes).
Liste blanche IP — possibilite de restreindre l’acces a l’application a des IP ou plages d’IP specifiques.

Piste d’audit

Chaque mutation du systeme est enregistree dans un journal d’audit append-only :

Qui a effectue l’action (ID utilisateur, role, adresse IP)
Ce qui a change (type d’entite, ID d’entite, etat avant/apres)
Quand cela s’est produit (horodatage cote serveur)

Le journal d’audit est immuable — aucune entree ne peut etre modifiee ni supprimee, meme par les administrateurs. Cela fournit une chaine de preuve verifiable pour chaque offre, fiche client et changement de configuration.

Securite des offres

Les liens publics d’offre sont proteges par plusieurs couches :

Jetons cryptographiques — jetons aleatoires sur 256 bits, stockes uniquement sous forme de hash SHA-256 en base. Le jeton en clair n’est retourne qu’une seule fois et n’est jamais stocke.
Protection optionnelle par mot de passe — les liens d’offre peuvent exiger un code PIN hache avec bcrypt.
Acces revocable — tout lien peut etre revoque instantanement par le commercial.
Rate limiting — des limites par jeton et par IP reduisent les abus (60 ouvertures/heure, 5 actions/heure).
Detection de bots — une validation temporelle et des champs honeypot bloquent les soumissions automatisees.
Suivi des interactions — chaque ouverture, telechargement, reponse et decision est enregistree avec une IP anonymisable et un code pays GeoIP.

Protection des donnees

Chiffrement en transit — TLS pour toutes les connexions (reverse proxy via Caddy avec HTTPS automatique).
Chiffrement au repos — confie a votre infrastructure (chiffrement disque, volumes chiffres).
Chiffrement optionnel des PII au niveau colonne — lorsqu’il est active (ENCRYPT_PII=true), les informations personnellement identifiables (noms clients, emails, numeros de telephone, identifiants fiscaux) sont chiffrees avec AES-256-GCM au niveau applicatif avant ecriture en base. Des index aveugles (HMAC-SHA256) preservent les recherches exactes sans exposer le texte en clair. Un validateur au demarrage evite la corruption de donnees due a un mauvais jeu de cles ou a un changement accidental de flag.
Anonymisation des IP — tache configurable pour hacher les adresses IP apres N jours pour la conformite RGPD.
Aucune dependance externe — pas d’analytics tiers, pas de pixels de tracking ni de dependances CDN dans la configuration par defaut.
Controles de retention — periodes de retention configurables pour les documents generes, journaux d’audit et donnees de suivi.

Sauvegarde et reprise apres sinistre

Vos donnees ne sont en securite que si vous pouvez les restaurer :

Sauvegardes quotidiennes automatisees — dumps de base et archives de fichiers planifies sans interruption (configurables via BACKUP_CRON).
Chiffrement GPG au repos — les sauvegardes peuvent etre chiffrees avant stockage, afin que meme votre fournisseur de stockage ne puisse pas lire les donnees.
Stockage distant — envoi automatique vers S3, SFTP, Google Cloud Storage, Azure, ou l’un des 70+ fournisseurs pris en charge par rclone.
Verification d’integrite — chaque sauvegarde inclut un manifeste de checksum SHA-256 pour detecter les alterations.
Telechargement en un clic — les administrateurs peuvent telecharger les archives de sauvegarde directement depuis l’admin.
Politique de retention — nettoyage automatique des anciennes sauvegardes pour garder une consommation disque previsible (par defaut : 7 sauvegardes recentes).
Reprise apres sinistre — un script de restauration dedie reconstruit une instance complete a partir d’un fichier de sauvegarde sur un serveur vierge avec une seule commande.
Monitoring — le panneau d’administration avertit si les sauvegardes sont desactivees ou si aucune sauvegarde reussie n’a ete enregistree dans les 48 dernieres heures.

Pour le guide complet de sauvegarde et de restauration, consultez le wiki Sauvegarde et restauration.

Snapshots d’offre immuables

Lorsqu’une offre est envoyee, le systeme capture un snapshot complet et immuable : donnees client, lignes, prix, taux de change, branding et conditions commerciales. Ce snapshot devient la source de verite pour la generation PDF et pour l’audit.

Les snapshots ne peuvent pas etre modifies apres leur creation. Si une offre est renvoyee, une nouvelle version de snapshot est creee. Cela fournit une preuve verifiable de ce qui a ete propose, et a quelle date.

Securite de la licence

Les licences QuoteNode sont des fichiers signes avec Ed25519 et verifies entierement hors ligne. Aucun serveur externe n’est contacte pour valider la licence. Les licences payantes sont annuelles — si une licence expire, toutes les fonctionnalites continuent a fonctionner normalement. Le seul changement visible est l’apparition du badge “Powered by QuoteNode” sur les surfaces visibles par le client et d’un rappel de renouvellement dans l’interface. Aucune fonctionnalite n’est desactivee.