La sécurité de vos données, prise au sérieux
Votre association nous confie des données d'adhérents, des finances, parfois des documents sensibles. Voici concrètement comment elles sont protégées — sans jargon marketing.
Isolement entre associations
Chaque association dispose d'un espace totalement isolé des autres. Chaque accès aux données — adhérents, finances, documents — est systématiquement vérifié par rapport à l'association et au rôle de la personne connectée.
Accès limité selon le rôle
Au sein d'une même association, les fonctionnalités sensibles (comptabilité, dons, paramètres, facturation) sont réservées aux rôles Administrateur et Responsable. Un membre simple n'y a pas accès.
Mots de passe hachés, jamais en clair
Les mots de passe sont hachés (bcrypt) avant d'être stockés : personne, pas même notre équipe, ne peut consulter le mot de passe d'un utilisateur.
Connexions chiffrées de bout en bout
Tout le trafic passe en HTTPS, avec HSTS activé pour empêcher tout repli vers une connexion non chiffrée. Les sessions reposent sur des jetons signés cryptographiquement, vérifiés à chaque requête.
Hébergement sérieux, pas de serveur maison
L'application est hébergée chez Cloudflare, la base de données chez Neon — deux infrastructures cloud professionnelles, avec sauvegardes automatiques, plutôt qu'un serveur géré en interne.
Protection contre les attaques courantes
En-têtes de sécurité stricts (CSP, anti-clickjacking, anti-sniffing), échappement systématique des contenus affichés, limitation du nombre de tentatives de connexion, et vérification de la signature réelle de chaque fichier déposé (pas seulement son extension).
En détail
Pour celles et ceux qui veulent comprendre précisément ce qui protège leurs données.
Authentification
- Mots de passe hachés avec bcrypt, jamais stockés ni journalisés en clair.
- Sessions sous forme de jetons signés (JWT), impossibles à falsifier ou à modifier sans invalider la signature.
- Limitation du nombre de tentatives de connexion pour empêcher les attaques par force brute, avec un délai identique que le compte existe ou non (pas de fuite d'information sur les comptes existants).
- Authentification à deux facteurs disponible pour les comptes d'équipe.
Cloisonnement des données
- Chaque page et chaque action vérifie systématiquement que la personne connectée appartient bien à l'association concernée, avant tout accès aux données.
- L'espace adhérents/bénévoles (accessible sans compte d'équipe) repose sur un système d'authentification entièrement séparé de celui de l'équipe de gestion.
- Toutes les requêtes à la base de données utilisent des requêtes paramétrées : aucune concaténation de texte utilisateur dans une requête SQL.
Fichiers et contenus
- Chaque fichier déposé (logo, justificatif, document) est vérifié sur sa signature binaire réelle, pas seulement sur l'extension ou le type déclaré par le navigateur — une protection contre les fichiers déguisés.
- Tout contenu saisi par un utilisateur (nom, texte libre) est automatiquement échappé à l'affichage pour empêcher l'injection de code.
Paiements
- Les paiements par carte sont traités par Stripe : aucune donnée bancaire ne transite ni n'est stockée sur nos serveurs.
- Chaque notification de paiement (webhook) est vérifiée par signature cryptographique avant d'être prise en compte — une requête sans signature valide est automatiquement rejetée.
Audits et tests
- Le code est audité régulièrement, avec des tests actifs d'intrusion (tentatives réelles d'accès non autorisé, de contournement d'authentification, d'injection) menés avant chaque mise en production de fonctionnalités sensibles.
- Les en-têtes de sécurité (Content-Security-Policy, HSTS, anti-clickjacking) sont appliqués sur l'ensemble du site.
Vous avez trouvé une faille de sécurité ?
Merci de nous la signaler de façon responsable, avant toute divulgation publique, à hello@mangoasso.fr. Nous nous engageons à traiter rapidement tout signalement sérieux et à ne jamais poursuivre une personne ayant signalé une faille de bonne foi, sans l'avoir exploitée au-delà de ce qui est nécessaire pour la démontrer.
Voir aussi notre politique de confidentialité et notre politique de cookies.
Essayez MangoAsso en toute confiance
Créez votre espace en moins de cinq minutes, sans carte bancaire.
Créer mon association gratuitement