Keyline

Sécurité

Ce que nous protégeons, et comment

Keyline s’appuie sur les recommandations de l’OWASP ASVS comme référence de conception. Ce n’est ni une certification ni une garantie : aucun système n’est « 100 % sécurisé ».

Limite fondamentale de tout système de licence

Un logiciel exécuté sur la machine de l’utilisateur peut être modifié pour sauter la vérification. Signer les réponses, garder des sessions courtes et faire dépendre les fonctionnalités à forte valeur d’appels serveur rend la fraude plus coûteuse, sans la rendre impossible.

Comptes

  • Mots de passe hachés avec Argon2id
  • Double authentification TOTP avec anti-rejeu des codes
  • Codes de récupération à usage unique
  • Passkeys (WebAuthn) avec vérification de l’utilisateur
  • Limitation des tentatives par compte et par IP
  • Mêmes réponses pour un email inconnu et un mauvais mot de passe

Sessions et navigateur

  • Cookie HttpOnly, Secure, SameSite=Strict, préfixe __Host-
  • Jeton CSRF lié à la session et vérification de l’origine
  • Politique CSP stricte avec nonce, aucune ressource tierce
  • Expiration absolue et d’inactivité, révocation immédiate
  • Ré-authentification pour les actions sensibles
  • Aucun secret dans le stockage du navigateur

Données

  • Clés de licence et secrets API stockés en empreinte
  • Secrets à relire (TOTP, webhooks, clés privées) chiffrés en AES-256-GCM
  • Trousseau de chiffrement rotatif
  • Identifiants d’appareil et adresses IP pseudonymisés
  • Aucune clé ni secret dans les journaux
  • Rétention bornée des données techniques

API et intégrations

  • Réponses de licensing signées ECDSA P-256 avec nonce
  • Anti-bruteforce des clés et limitation de débit distribuée
  • Signature HMAC-SHA256 et nonce pour les requêtes serveur
  • Webhooks signés, destinations privées et internes refusées
  • Contrôle d’accès vérifié côté serveur à chaque requête
  • Isolation stricte entre organisations
Détails techniques : bonnes pratiques d’intégration. Vous avez trouvé une vulnérabilité ? Contactez l’opérateur de cette instance par un canal privé ; ne la publiez pas avant correction.