ZlotiaComptes et sessions
Les opérations liées au compte passent par l'authentification de Supabase. Les services sensibles vérifient l'identité côté serveur, pas simplement l'affichage d'un bouton dans le navigateur.
Sécurité · Transparence
Vos données méritent des protections concrètes.
Zlotia gère des documents commerciaux et des informations professionnelles sensibles. Nous décrivons ici les mécanismes utilisés, les contrôles documentés et les limites de ce que nous pouvons garantir.
Information technique : 7 novembre 2026. À réviser à chaque évolution majeure.
Comment Zlotia protège les accès et documents
Chiffrement des échanges
L'application publique utilise des adresses HTTPS. Des en-têtes de sécurité sont prévus côté déploiement, mais leur efficacité dépend de la configuration de l'hébergeur.
Isolation des dossiers comptables
Les dossiers transmis à un comptable reposent sur des permissions Supabase RLS : invitation nominative, publication volontaire et révocation des consultations futures. Cela ne supprime pas une copie déjà téléchargée.
Justificatifs privés
Le stockage des pièces de l'Espace Comptable est privé. Les contrôles d'accès limitent la consultation aux participants autorisés d'un dossier, pour les formats de pièces acceptés.
Documents commerciaux
Les devis acceptés et certaines opérations de facturation sont soumis à des contrôles métier. Une correction de facture finalisée doit être traitée par un document approprié, par exemple un avoir, plutôt que par réécriture silencieuse.
Traçabilité ciblée
Les invitations, transmissions, échanges et révocations de l'Espace Comptable alimentent un journal d'audit. Ce journal ne représente pas nécessairement une traçabilité exhaustive de toutes les actions Zlotia.
Surveillance renforcée · Mise en service le 7 novembre 2026
Zlotia Sentinel : des vérifications de sécurité répétées et traçables
Zlotia Sentinel V28.1 est un robot de surveillance défensive exploité séparément du site et de l’application. Ses cycles sont planifiés toutes les cinq minutes. Ils servent à détecter rapidement des anomalies sur un périmètre public autorisé ; ils ne consultent pas les documents privés des utilisateurs.
HTTPS et disponibilité
Contrôle des réponses de plusieurs URL publiques autorisées, du protocole HTTPS et de la validité des certificats TLS, y compris leur échéance.
En-têtes de protection
Vérification de certains en-têtes HTTP de sécurité, notamment HSTS, CSP et la protection contre l’interprétation incorrecte des types MIME.
Contrôles ciblés
Vérification non intrusive de la réponse d’un point d’administration protégé et de quelques chemins pouvant révéler une exposition accidentelle.
Rapports et notifications
Production de rapports privés horodatés en HTML, JSON et Markdown, suivi des nouveaux signaux, et envoi de synthèses via Astrabase Mail à l’équipe chargée de la supervision.
Un contrôle indépendant, sans collecte de données clients
La surveillance ne télécharge ni dossiers comptables, ni factures, ni pièces privées des utilisateurs. Les rapports de diagnostic détaillés restent en accès restreint et ne sont pas publiés sur le site.
Ce que Sentinel ne garantit pas
Ce premier niveau de supervision ne représente pas un audit de pénétration permanent, une vérification exhaustive des droits d’accès ou une certification de sécurité. Une absence d’alerte n’exclut pas l’existence de vulnérabilités ; les analyses approfondies nécessitent des contrôles dédiés et une préproduction isolée.
Informations sur le dispositif à la date du 7 novembre 2026. L’état public des services et les diagnostics privés Sentinel ne correspondent pas aux mêmes mesures.
Limites et engagements raisonnables
- Pas de sécurité absolue. Aucun service en ligne ne peut garantir zéro vulnérabilité ni une disponibilité permanente.
- Pas de certification revendiquée. Zlotia ne revendique ici ni certification ISO 27001, ni SOC 2, ni audit indépendant complet de son application.
- Sauvegardes et restaurations. Les garanties de fréquence, de sauvegarde hors site, de durée de conservation et de restauration doivent être confirmées contractuellement ; aucun objectif RPO/RTO garanti n'est annoncé ici.
- Facturation et conformité. La préparation comptable et l'Espace Expert-Comptable ne constituent pas un FEC réglementaire ni une certification comptable. La facturation électronique réglementaire dépend d'une activation distincte.
- Données chez des prestataires. Zlotia s'appuie notamment sur Supabase et Stripe pour des fonctions déterminées. Les informations juridiques sur les traitements figurent dans la politique de confidentialité.
Vous avez découvert un problème de sécurité ?
Nous encourageons les signalements permettant de corriger une vulnérabilité sans perturber le service. Décrivez le composant, le risque, des étapes de reproduction prudentes et un moyen de vous répondre.
Contacter l'équipe sécuritéN'envoyez ni mots de passe ni données personnelles de tiers. Ne testez pas de comptes autres que les vôtres et n'effectuez pas de tests de charge sans accord. Aucun délai contractuel de réponse n'est annoncé.
Informations complémentaires
Supervision et traitement des incidents
Des sondes techniques sont enregistrées périodiquement et analysées pour éviter les alertes intempestives. Plusieurs contrôles anormaux consécutifs préparent une alerte et un brouillon d’incident. La publication et la clôture sont soumises à une décision humaine. Cette supervision ne remplace pas des audits externes ni des tests fonctionnels complets.