Sécurité

1. Notre approche

Nous appliquons le principe du moindre privilège : chaque utilisateur et chaque composant n'accède qu'à ce dont il a besoin. Nous privilégions des protections par défaut plutôt que des réglages à activer.

Aucune plateforme n'est invulnérable. Les mesures ci-dessous réduisent les risques, et nous les faisons évoluer en continu.

2. Chiffrement des échanges

Les échanges entre votre navigateur et FerryGate transitent par des connexions chiffrées. Le navigateur est invité à n'utiliser que ces connexions sécurisées pour notre site.

3. Sessions et authentification

Votre session est conservée dans un cookie chiffré, inaccessible aux scripts de la page et limité à la navigation sur notre site. Son contenu n'est lisible ni par le navigateur ni par un tiers qui l'intercepterait.

La session expire automatiquement et peut être invalidée côté serveur, par exemple lorsqu'un accès est révoqué. Les mots de passe doivent respecter des règles de robustesse à la création du compte.

4. Contrôle d'accès et séparation des zones

Le site public, la console des organisations et l'espace d'administration sont des zones distinctes. L'accès à chacune est vérifié côté serveur, avant l'affichage de la page, et non uniquement dans l'interface.

Les droits des utilisateurs dépendent de leur rôle au sein de leur organisation. Les zones connectées ne sont pas indexées par les moteurs de recherche.

5. Protection contre les attaques web

• Protection contre les requêtes intersites (CSRF) sur les opérations qui modifient des données.
• En-têtes de sécurité et politique de sécurité du contenu (CSP) limitant les ressources et services que le navigateur peut charger.
• Interdiction d'afficher le site dans un cadre tiers, pour limiter le détournement de clics.
• Validation du type et de la taille des fichiers téléversés.
• Contrôle anti-robot sur les formulaires publics.

6. Limitation de débit

Les opérations sensibles, comme la connexion ou le téléversement de fichiers, font l'objet d'une limitation du nombre de requêtes afin de freiner les tentatives abusives et automatisées.

7. Jetons d'accès API

L'accès à l'API se fait avec des jetons propres à l'organisation. Ils peuvent être révoqués à tout moment par leurs titulaires et sont limités aux opérations autorisées. Nous recommandons de les conserver côté serveur, de ne jamais les publier dans un code public et de les renouveler s'ils ont pu être exposés.

8. Journalisation et données

Nous conservons des journaux techniques pour détecter les incidents et enquêter sur les comportements anormaux. Les outils de mesure d'audience sont configurés pour ne pas capturer le contenu des formulaires ni les textes des pages connectées.

Les données de réservation ne sont partagées qu'avec les compagnies maritimes concernées et les prestataires nécessaires au service.

9. Signaler une vulnérabilité

Si vous pensez avoir trouvé une faille de sécurité, merci de nous la signaler via la page de contact, en indiquant « Sécurité » dans votre message. Décrivez ce que vous avez observé et les étapes pour le reproduire, sans y inclure de données personnelles réelles.

Nous accusons réception des signalements dans un délai raisonnable et vous tenons informé des suites données. Nous ne pouvons toutefois pas nous engager sur des délais chiffrés.

Nous vous demandons d'agir de bonne foi : ne pas accéder à des données qui ne vous appartiennent pas au-delà de ce qui est nécessaire pour démontrer le problème, ne pas perturber le service, et ne pas divulguer la faille avant qu'elle ait pu être corrigée.