Comment En commun est sécurisé?

Diverses mesures sont prises pour assurer la sécurité de la plateforme En commun, des contenus et des données personnelles. 

Mesures

• L'application web est basée sur des technologies en code ouvert comme la suite Debian, le langage de programmation Python et le cadriciel Django, qui sont considérés comme des technologies sécurisées et soutenues par une vaste communauté.
• L'équipe de développement, Ouverti, assure une surveillance du système et effectue ponctuellement les mises à jour de sécurité nécessaires.
• L'application web est maintenue sur des infrastructures au Canada qui utilisent des services web bénéficiant de plusieurs mesures de sécurité pour protéger les données et les serveurs.
• L’application web est gérée avec des processus de développement contrôlés, un flux de travail sécurisé et une documentation à jour, afin d’assurer sa fiabilité sur la durée.

Technologies en code ouvert

Ouverti utilise des technologies sécurisées pour plusieurs raisons. 

• Sécurité de base
  • Python gère automatiquement la mémoire, ce qui empêche les fuites de mémoire ou des erreurs de segmentation, qui sont couramment exploitées pour compromettre des applications et leurs données.
  • Python et Django ont aussi des bibliothèques intégrées pour la sécurité, par exemple pour la gestion des identités et des accès; elles sont donc utilisées pour protéger les applications contre les attaques courantes, comme celles par force brute.
  • La distribution Linux Debian est construite sur une architecture multi-utilisateur et conçue pour être modulaire et configurable, ce qui permet de personnaliser la sécurité du système spécifiquement pour les besoins des applications web.
• Communauté
  • Python et Django ont une communauté active de développeur·euses et d'utilisateur·euses qui procèdent à des tests et réagissent rapidement sur les enjeux de sécurité. Le tout est aussi documenté, ce qui permet de suivre les meilleures pratiques pour sécuriser les applications.
  • Debian dispose d'une équipe de sécurité, qui surveille les vulnérabilités et les menaces potentielles, ce qui permet de diffuser et appliquer rapidement les correctifs de sécurité.

Infrastructure web 

Ouverti utilise les services d'infrastructure web d'OVH.ca & d'AWS (Canada). Plusieurs mesures de sécurité sont mise en place pour protéger les données et les serveurs. 

• Sécurité de base
  • OVH.ca et AWS utilisent des systèmes de pare-feu et différentes solutions logicielles pour empêcher les attaques provenant de l'extérieur.
  • Ils ont des équipes et des systèmes d'alerte en place pour détecter les menaces potentielles et prendre des mesures préventives si nécessaire.
  • Ils ont aussi des mesures physiques, comme la surveillance 24 heures sur 24 des centres de données.
• Gestion intégrée
  • Ouverti effectue des sauvegardes régulières sur l'infrastructure principale de l'application web (OVH.ca) et en redondance hors de cette infrastructure (toujours géolocalisé au Canada).
  • Ouverti a ses propres solutions de surveillance des ressources dédiées aux applications web de cette infrastructure principale (OVH.ca), depuis une tierce (AWS).

Processus de développement contrôlés

Ouverti met en place un flux de travail et une documentation afin de sécuriser l’application web à long terme.

• Sécurité de base
  • Des protocoles sont mis en place pour sécuriser l'application tout au long du processus de travail (gestion des accès, sécurisation des outils utilisés et des postes de travail, etc.). 
• Gestion et documentation
  • Ouverti assure directement la formation des administrateur·trices de la plateforme et les sensibilise à l'importance des bonnes pratiques en matière de sécurité.
• Processus internes et évaluation
  • L'équipe de Projet collectif, responsable du soutien technique, assure la formation des personnes ayant accès aux outils d'administration de la plateforme.
  • Les interventions effectuées sur la plateforme sont encadrées par les conditions d'utilisation, la politique de confidentialité et les politiques internes de Projet collectif. 
  • Ces processus sont ponctuellement évalués et actualisés.