Accueil / Sécurité

Où vivent les données, et qui peut les lire

La meilleure protection d'une donnée est de ne pas la détenir. L'architecture part de là : la place de marché que vous utilisez n'a jamais accès à l'identité des voyageurs.

Trois applications, trois cloisons

Ce site: Public et indexable. Il ne reçoit aucune donnée de voyageur : seulement les demandes d'accès des agences et des partenaires.
La place de marché: L'API qu'utilisent les agences. Elle gère le catalogue, les enchères, les comptes prépayés et les factures. Elle ne stocke que des fiches anonymes et des références.
Le système de gestion: Seul détenteur des demandes complètes, chiffrées. Non indexé. Son back-office et son API d'administration sont réservés à nos administrateurs : compte nominatif (identifiant), mot de passe long et second facteur à usage unique. Seuls les points d'entrée destinés aux partenaires et aux voyageurs y sont ouverts à tous : l'API d'ingestion des sites partenaires, le suivi des affiliés, l'activation des logiciels, la réception des demandes de nos campagnes et les liens envoyés aux voyageurs.

Les applications sont cloisonnées : chacune ne lit que son propre dossier de données et sa propre configuration, tous deux stockés hors de tout répertoire servi par le web. Quand une agence ouvre un lead acquis, la place de marché le demande au système de gestion par un canal interne signé et le transmet sans le conserver.

Chiffrement

Au repos: Chaque demande est chiffrée avec libsodium (XSalsa20-Poly1305, chiffrement authentifié) : un fichier altéré est rejeté au déchiffrement. Les clés sont versionnées et se renouvellent sans interruption de service.
En transit: TLS 1.2 ou plus récent partout, HSTS sur le domaine et tous ses sous-domaines. Les webhooks ne partent que vers des adresses HTTPS.
Sur votre poste: Le Client Leads range les leads acquis dans un coffre chiffré en AES-256-GCM. Sa clé est confiée au trousseau de votre système d'exploitation.
Sauvegardes: Les sauvegardes de notre hébergeur (o2switch, en France) servent uniquement à la reprise après incident et sont conservées 90 jours : une demande purgée à J+15 peut y subsister, chiffrée, jusqu'à J+105. Si une sauvegarde est restaurée, les demandes déjà purgées sont aussitôt détruites de nouveau.

Secrets et accès

Clés API, codes d'activation et clés des sites partenaires : affichés une seule fois, conservés sous forme d'empreinte, jamais récupérables, révocables à tout moment
Clés API limitées à un périmètre, à une date d'expiration et à des adresses IP de votre choix
Secrets de webhooks conservés chiffrés ; chaque envoi est signé et horodaté
Mots de passe des administrateurs hachés avec Argon2id, douze caractères au minimum, second facteur TOTP protégé contre le rejeu
Limitation de débit sur toutes les API et blocage temporaire après des échecs d'authentification répétés
Canal interne entre nos applications signé en HMAC-SHA256, horodaté et protégé contre le rejeu
Webhooks sortants contrôlés contre les adresses internes ou privées, à la création et à chaque envoi

Aucune donnée personnelle là où elle n'a rien à faire

Ni les emails que nous envoyons, ni les webhooks, ni les adresses web, ni les factures, ni les journaux ne contiennent de donnée de voyageur. Le journal d'audit caviarde d'office les champs sensibles et remplace toute adresse email ou tout numéro de téléphone qui s'y glisserait. Il enregistre en revanche chaque consultation d'un lead complet : qui, quand, quel lead.

Pour détecter les doublons et retrouver un voyageur qui exerce ses droits, nous ne comparons pas des coordonnées en clair mais des empreintes à clé (HMAC) : une empreinte volée ne permet pas de retrouver un numéro par essais successifs.

Une suppression réelle

À J+15, ou dès une demande d'effacement, le fichier chiffré est écrasé puis supprimé, la fiche du catalogue est remplacée par une référence, l'historique des enchères est réduit aux montants, et votre Client Leads détruit sa copie locale de la même façon. Après cette date, l'API répond que le lead n'existe plus.

Ce qui relève de vous

Créez une clé API par outil, avec le périmètre minimal, et limitez-la à vos adresses IP
Révoquez sans attendre une clé qui a pu être exposée : toute opération faite avec votre clé vous est imputée
Vérifiez la signature et l'horodatage de chaque webhook reçu
Vérifiez l'empreinte SHA-256 du Client Leads avant de l'installer
Désactivez le poste d'un collaborateur qui quitte l'agence
Protégez les leads que vous exportez vers vos outils comme l'accord de traitement vous y engage

Signaler une faille

Vous pensez avoir trouvé une vulnérabilité ? Écrivez à security@tissora-travel.com en décrivant les étapes pour la reproduire. Nous accusons réception sous trois jours ouvrés et vous tenons informé de la correction.

Merci de ne pas accéder à des données qui ne vous appartiennent pas, de ne pas dégrader le service et de nous laisser le temps de corriger avant toute publication. Nous n'engageons pas de poursuites contre une recherche menée de bonne foi dans ce cadre. Les coordonnées figurent aussi dans security.txt.