Voici comment nous protégeons l’accès à tes données.
Nous expliquons ici les mesures de protection mises en place dans le code de Crowdbird : de ta connexion jusqu’à l’accès aux données de ton espace de travail.
Ta connexion à Crowdbird
Crowdbird utilise un service d’authentification spécialisé pour la connexion et la vérification de ta session. Tu peux demander un lien de connexion par e-mail. Les pages protégées de l’app vérifient que tu es connecté. Ouvre le lien de connexion dans le navigateur où tu l’as demandé.
Connecter les plateformes sans enregistrer de mots de passe
Pour Instagram, TikTok et Facebook, la liaison passe par la connexion OAuth officielle de la plateforme. C’est là que tu confirmes l’accès accordé à la liaison. Crowdbird n’enregistre dans sa base de données ni les mots de passe de ces plateformes ni les clés d’accès OAuth de ces comptes. C’est notre interface réseaux sociaux qui gère la liaison avec la plateforme.
Accès à ton espace de travail
Les tables de base de données de l’app et du site web sont protégées par Row Level Security. Pour les données d’un espace de travail, ces règles vérifient que tu en fais partie et quel rôle tu as. Les propriétaires et les admins peuvent par exemple publier et exporter des données. Les membres peuvent modifier des brouillons. Les tables internes réservées aux tâches serveur sont fermées à tout accès direct depuis le navigateur.
Les contenus publics, comme les pages de lien en bio publiées et les textes marketing, ont leurs propres règles de lecture. Le fait qu’ils soient visibles sans connexion ne donne aucun accès aux autres données de ton espace de travail.
Protection dans le navigateur
Crowdbird définit une Content Security Policy qui fixe les sources depuis lesquelles le navigateur peut charger du contenu et des scripts. Les pages de l’app où tu es connecté reçoivent une valeur unique par requête pour les scripts. D’autres en-têtes de sécurité empêchent notamment l’intégration dans des cadres externes et limitent des fonctions du navigateur comme la caméra, le micro et la localisation.
L’en-tête Strict-Transport-Security demande aux navigateurs d’ouvrir le site en HTTPS. X-Content-Type-Options empêche le navigateur d’interpréter un fichier comme un autre type de contenu.
Des adresses IP transformées en hash
Pour mesurer les clics sur ta page de lien en bio, un hash est calculé à partir de l’adresse IP et de l’identifiant du navigateur. La base de données en conserve une valeur avec une clé qui change chaque jour, et non l’adresse IP brute. Pour les limites d’utilisation des outils gratuits et du formulaire de contact, Crowdbird transforme l’adresse IP en une valeur avec une clé secrète (HMAC). L’adresse IP elle-même n’est pas enregistrée. Pour le formulaire de contact, cette valeur est enregistrée avec ton message et supprimée avec lui : après 12 mois, ou après 30 jours pour les messages marqués comme spam. Ces informations concernent ces trois fonctions, pas les journaux des hébergeurs ou des plateformes.