Entrazure
Comment ce site est construit
entrazure.com est un site statique. Il n’y a derrière ces pages ni serveur applicatif, ni système de gestion de contenu, ni base de données, donc les chemins habituels d’injection et de prise de contrôle n’existent pas ici. Les pages sont générées à la construction et servies depuis Azure Static Web Apps en TLS.
Aucun script tiers ne s’exécute sur le site. Les polices sont hébergées chez nous plutôt que récupérées sur un réseau de diffusion, l’analytique fonctionne sans témoins, et aucune balise publicitaire ou marketing ne tourne nulle part. C’est une décision de sécurité autant que de vie privée : chaque script externe est une chaîne d’approvisionnement à laquelle vous accordez votre confiance à chaque chargement de page.
Comment le site est déployé
Les changements atteignent la production par une chaîne, jamais par le portail. Chaque changement est une demande de tirage sur un dépôt Git, révisée avant fusion et déployée par GitHub Actions. La chaîne s’authentifie auprès d’Azure par fédération d’identité de charge de travail, ce qui veut dire qu’aucun secret client Azure ni aucune clé de longue durée n’existe dans le dépôt, sur l’agent d’exécution ou sur le poste de quiconque. L’infrastructure est en Terraform : elle se reconstruit depuis la source et toute dérive apparaît comme un écart lisible.
Ce qui arrive à ce que vous nous envoyez
Le formulaire est traité par une fonction Azure que nous exploitons, en TLS, et cette fonction inscrit le message dans notre propre CRM Odoo. Rien n’est confié à une plateforme marketing au passage. L’accès au CRM est limité aux personnes qui répondent aux demandes, avec authentification multifacteur exigée. Ce que nous conservons et pour combien de temps figure dans la politique de confidentialité.
Le courriel n’est pas un canal sûr et nous le traitons comme tel. N’envoyez pas dans un premier message d’identifiants, de clés privées, d’identifiants de locataire accompagnés de secrets, ni de renseignements personnels concernant quelqu’un d’autre. S’il faut nous transmettre quelque chose de sensible pendant un mandat, nous mettons en place un canal pour cela.
Comment nous travaillons chez le client
Des comptes nominatifs, dans votre locataire. Nous travaillons sous des identités que vous émettez et pouvez révoquer, avec authentification multifacteur et le moindre privilège que la tâche exige. Nous ne partageons pas de comptes entre personnes et nous ne conservons pas d’accès permanent à la production après la fin d’un mandat.
Tout en code. Landing zones, politiques, réseau et chaînes de déploiement sont écrits en code et fusionnés après révision. Rien d’important n’est cliqué dans le portail, et c’est ce qui rend un environnement reproductible, relisible et explicable à un auditeur des mois plus tard.
Des contrôles natifs Azure. Nous bâtissons sur la surface de sécurité de la plateforme plutôt que d’ajouter une couche par-dessus : Entra ID pour l’identité et l’accès conditionnel, Azure Policy pour des garde-fous appliqués au déploiement, Key Vault pour les secrets, Defender for Cloud pour la posture et la vue de conformité réglementaire, et une journalisation centralisée dont la rétention correspond au cadre auquel vous répondez.
Architecture de sécurité dirigée par des architectes certifiés en sécurité de l’information. C’est pourquoi les exigences de conformité apparaissent dans les schémas de réseau et d’identité de nos mandats, plutôt que dans un document rédigé après la construction.
La remise inclut le dossier de sécurité. Vous gardez le dépôt, le jeu de politiques, le registre de décisions et le carnet de remédiation priorisé. Si vous mettez fin au mandat plus tôt, vous les gardez quand même.
Ce que nous ne prétendons pas
Entrazure Technologies ne détient pas d’attestation SOC 2 et n’est pas certifiée ISO 27001. Nous concevons et construisons des environnements qui passent ces audits, et nous produisons les preuves depuis les chaînes de déploiement plutôt que de les reconstituer avant un audit, mais le certificat serait le vôtre, pas le nôtre. Quiconque vous laisse croire que la certification d’un cabinet se transporte dans votre parc vous vend autre chose.
Nous sommes MSSP et revendeur pour Klarvant. Klarvant est un produit tiers, avec sa propre posture de sécurité et sa propre documentation. Ses garanties sont les siennes et nous ne les reprenons pas à notre compte.
Signaler une vulnérabilité
Si vous trouvez une faille dans ce site ou dans un service que nous exploitons, écrivez à contact@entrazure.com avec « sécurité » en objet.
Indiquez l’adresse, ce que vous avez fait et ce que vous avez observé. Une preuve de concept aide. Nous accusons réception en un jour ouvrable, vous disons ce que nous avons trouvé et vous disons quand c’est corrigé.
Nous n’offrons pas de prime au bogue. Nous ne poursuivons pas les chercheurs de bonne foi : restez dans la portée, n’accédez pas aux données d’autrui et ne les modifiez pas, ne dégradez pas le service, et laissez-nous un délai raisonnable avant publication. Si vous faites cela, vous avez notre reconnaissance et, avec votre accord, le crédit.
Incidents
Si un incident touche un environnement client que nous exploitons, le chemin de notification et les délais figurent au contrat de ce mandat. Si un incident met en cause des renseignements personnels, les obligations de la Loi 25, dont l’avis à la Commission d’accès à l’information et aux personnes concernées, sont décrites sur la page politique de confidentialité.
Pages liées
Politique de confidentialité · Conditions d’utilisation · Accessibilité · Nous joindre