Vos Données, Protégées à Chaque Couche
AskLee est conçu avec la sécurité au cœur — des secrets chiffrés aux conteneurs de bots isolés, vérifié par plus de 114 tests automatisés dans 16 catégories.
Vérifié par des Tests Automatisés
114+
Tests de sécurité
16
Catégories de tests
8 000+
Modèles de vulnérabilités
24/7
Vérification CI/CD
Architecture de Sécurité
Chaque couche d'AskLee est conçue pour protéger vos données.
Chiffrement au Repos
Les clés API et les tokens de bot sont chiffrés avant le stockage — nous ne pouvons pas les lire même si la base de données est compromise.
Détails techniques
Chiffrement AES-256-GCM avec dérivation de clé PBKDF2. Vecteur d'initialisation unique par opération. Les champs chiffrés ne sont jamais enregistrés ni exposés dans les réponses de l'API.
Conteneurs de Bots Isolés
Chaque bot fonctionne dans son propre conteneur isolé. Un bot ne peut pas accéder aux données ou ressources d'un autre.
Détails techniques
Machines virtuelles dédiées avec des volumes par bot et des tokens de passerelle uniques. Aucun état partagé entre les instances de bots. Isolation complète des processus.
Validation des Entrées
Chaque requête est validée et assainie pour prévenir les attaques par injection.
Détails techniques
Protection contre XSS, injection SQL, traversée de répertoires et injection de bytes nuls. Limites strictes de jeu de caractères et de longueur sur toutes les entrées.
Authentification Résistante au Chronométrage
Les vérifications d'authentification résistent aux attaques par chronométrage — aucune fuite d'information par les temps de réponse.
Détails techniques
Comparaison de chaînes en temps constant via timingSafeEqual() pour toute vérification de secrets et de tokens. Empêche les attaquants de déduire des correspondances partielles.
Limitation de Débit et Protection DoS
Les requêtes sont limitées en débit pour prévenir les abus. Les charges surdimensionnées sont rejetées avant traitement.
Détails techniques
5 requêtes par minute pour les mutations, 20 par minute pour les lectures. Taille maximale du corps de 1 Mo. Limitation de débit via Redis par Upstash.
En-têtes de Sécurité
Des politiques de sécurité strictes du navigateur empêchent le clickjacking, le XSS et le reniflage de contenu.
Détails techniques
Content-Security-Policy (sans unsafe-eval), X-Frame-Options: DENY, X-Content-Type-Options: nosniff, HSTS avec max-age de 2 ans, politique CORS stricte.
Analyse de Sécurité Automatisée
114 tests automatisés s'exécutent dans 16 catégories avant chaque déploiement, plus des analyses approfondies mensuelles avec plus de 8 000 modèles de vulnérabilités.
Détails techniques
Sonde de sécurité personnalisée couvrant la protection de passerelle, la divulgation de répertoires, le contrebande HTTP, la prévention SSRF, l'empoisonnement de cache et plus. Complété par le scanner de vulnérabilités Nuclei avec une couverture complète des modèles.
Sécurité du Transport
Tout le trafic est chiffré en transit. Seules les versions modernes de TLS sont acceptées — pas de chiffrements faibles, pas de rétrogradation de protocole.
Détails techniques
TLS 1.2 et 1.3 uniquement. HTTPS obligatoire sur tous les endpoints. HSTS avec max-age de 2 ans empêche les attaques de rétrogradation de protocole. Zéro service interne exposé (pas de SSH, base de données ou ports de débogage).
Authentification Multicouche
Chaque message passe par trois points de contrôle d'authentification indépendants avant d'atteindre votre bot.
Vérification du Canal
Les signatures de webhooks de Telegram, Discord, WhatsApp et Slack sont vérifiées cryptographiquement en périphérie.
Autorisation du Relais
Notre proxy relais s'authentifie auprès de l'API avec des tokens bearer signés HMAC avant de résoudre tout bot.
Secret Par Bot
Chaque instance de bot possède un token de passerelle cryptographique unique (~190 bits d'entropie). Compromettre un bot ne peut pas affecter les autres.
Confidentialité et Traitement des Données
Vos données vous appartiennent. Un point c'est tout.
Collecte Minimale de Données
Nous ne stockons que le nécessaire pour faire fonctionner votre bot. Pas de suivi analytique, pas de profilage comportemental, pas de vente de données à des tiers.
Pas d'Entraînement d'IA sur Vos Données
Vos conversations et le contenu de votre bot ne sont jamais utilisés pour entraîner des modèles d'IA. Des accords de rétention zéro avec tous les fournisseurs d'IA garantissent que vos données sont supprimées immédiatement après le traitement.
Supprimez à Tout Moment
Suppression complète du compte disponible depuis votre tableau de bord. Quand vous supprimez, nous supprimons — pas de période de rétention, pas de sauvegardes cachées.
Conformité et Confiance
Nous nous imposons les plus hauts standards de l'industrie.
Conforme au RGPD
Confidentialité par conception, portabilité des données, droit à la suppression et accords de traitement des données disponibles pour les clients entreprise.
Traitement IA sans Rétention
Tous les fournisseurs d'IA (OpenAI, Anthropic, Groq) opèrent sous des accords de rétention zéro. Vos messages ne sont jamais stockés par des tiers au-delà de l'appel API immédiat.
SOC 2 Type II en Cours
Validation d'audit indépendante de nos contrôles de sécurité, de la confidentialité des données et des pratiques de vie privée. Achèvement prévu en 2026.
Vous Avez Trouvé une Vulnérabilité ?
Nous apprécions la divulgation responsable. Si vous découvrez un problème de sécurité, veuillez le signaler de manière privée. Ne créez pas d'issues publiques sur GitHub pour les vulnérabilités de sécurité.
Contactez-nous à security@asklee.ai
Veuillez inclure une description du problème, les étapes pour le reproduire et l'impact potentiel.
Nous visons à accuser réception des signalements sous 48 heures.
Nous valorisons vos contributions et créditerons les signaleurs dans nos remerciements de sécurité.