La sécurité chez QRCodeKIT

Dernière revue : 27 octobre 2026. Pour toute question à laquelle cette page ne répond pas, écrivez à [email protected].

Faits sur la sécurité

Certifications et hébergement

QRCodeKIT a-t-il été certifié ISO/IEC 27001 ?

Oui. QRCodeKIT a été certifié ISO/IEC 27001, la norme internationale de management de la sécurité de l’information. Notre système de management de la sécurité de l’information (SMSI) couvre le contrôle d’accès, la cryptographie, la sauvegarde et la reprise, le développement sécurisé, la gestion des fournisseurs et la gestion des incidents, et il est revu au moins une fois par an. QRCodeKIT a également été certifié ISO 9001 pour la qualité et ISO 14001 pour le management environnemental, et nos codes sont conformes à ISO/IEC 18004:2024, la norme des QR codes.

Où les données des clients sont-elles hébergées ?

Sur Amazon Web Services, à Francfort, en Allemagne (eu-central-1). C’est là que sont stockés et traités les QR codes, les projets, les données de compte, les statistiques de scan, les fichiers téléversés et les réponses aux formulaires. Les ressources statiques sont diffusées par le réseau périphérique mondial d’Amazon CloudFront, et Cloudflare protège le trafic avant qu’il n’atteigne notre infrastructure.

Notre exploitant est constitué aux États-Unis : tout transfert international repose donc sur les garanties décrites dans notre politique de confidentialité, à savoir des décisions d’adéquation, des garanties contractuelles ou un cadre de transfert applicable. Notre article sur les plateformes de QR codes hébergées dans l’UE explique ce que la résidence des données change pour l’acheteur.

Protection des données

Les données des clients sont-elles chiffrées au repos et en transit ?

Oui. Toutes les données en transit sont protégées par TLS 1.2 ou supérieur, y compris la connexion à notre couche de cache. Notre politique impose le chiffrement au repos des bases de données avec AWS Key Management Service, avec des clés protégées par des modules matériels de sécurité validés FIPS 140-2. Les réponses collectées par les QR codes formulaire bénéficient d’une seconde couche : elles sont chiffrées avec AES-256 au niveau applicatif avant d’être écrites dans la base de données. Les clés d’API sont conservées uniquement sous forme de hachages SHA-256, et les secrets de l’infrastructure sont fournis par AWS Secrets Manager et Parameter Store plutôt qu’intégrés aux images de conteneurs.

Qu’enregistre un scan, et qui peut le voir ?

Chaque scan enregistre un horodatage, une localisation approximative (pays, région et ville), l’appareil, le système d’exploitation et le navigateur, ainsi que la page de provenance. La localisation est déterminée par notre propre service de géolocalisation, au sein de notre infrastructure, et non par une API tierce, et nos serveurs n’envoient aucune donnée de scan à un fournisseur de statistiques externe. Les statistiques de scan ne sont visibles que par les utilisateurs du compte propriétaire du code. Les webhooks envoyés à des outils comme Zapier ou Make sont signés et ne contiennent ni l’adresse IP ni les informations de navigateur de la personne qui scanne.

Accès et identité

Comment les utilisateurs se connectent-ils, et l’authentification multifacteur est-elle prise en charge ?

Les comptes Enterprise se connectent via leur propre fournisseur d’identité grâce à l’authentification unique OpenID Connect : Google Workspace, Microsoft Entra ID et ADFS, Okta, Auth0 ou tout fournisseur compatible OIDC. L’authentification multifacteur, la confiance dans l’appareil et les politiques de session sont alors appliquées par votre fournisseur d’identité aux membres de l’équipe qui se connectent par son intermédiaire. Toutes les offres permettent aussi de se connecter avec Google, en héritant de la protection multifacteur configurée sur le compte Google.

Les mots de passe sont conservés avec un hachage bcrypt ou Argon2, les jetons de session expirent au bout d’une heure, les liens de réinitialisation du mot de passe expirent au bout de dix minutes et l’inscription est protégée contre les abus automatisés par Cloudflare Turnstile. En interne, l’authentification multifacteur est obligatoire sur tous les systèmes critiques, et l’accès administratif à notre environnement cloud n’est possible que par un VPN lié à l’authentification unique de l’entreprise.

Quels rôles et quelles permissions sont disponibles ?

Quatre rôles : Owner, Admin, Editor et Member, avec des permissions vérifiées à chaque opération sur les codes, les projets, les domaines personnalisés, la gestion de l’équipe et la facturation. Les membres de l’équipe rejoignent le compte sur invitation par e-mail, et seul l’Owner peut supprimer le compte. Les données de chaque compte sont isolées de celles de tous les autres au niveau applicatif.

Existe-t-il un journal d’audit de qui a modifié quoi ?

Oui. QRCodeKIT tient un journal d’audit côté serveur pour chaque compte. Chaque création, modification et suppression de QR codes, de projets, de domaines personnalisés, de membres de l’équipe, de clés d’API et de facturation est enregistrée avec l’utilisateur qui l’a effectuée, la date et l’heure, et les valeurs avant et après la modification, et chaque enregistrement indique qui l’a créé et qui l’a modifié en dernier. Les actions réalisées par des agents d’IA via notre serveur MCP sont enregistrées avec l’identifiant de l’agent, les permissions utilisées et le résultat.

IA et intégrations

Comment les clés d’API, les webhooks et les agents d’IA sont-ils sécurisés ?

Les clés de la REST API v2 peuvent être révoquées à tout moment, peuvent recevoir une date d’expiration et sont conservées uniquement sous forme de hachages. Les webhooks sortants sont signés avec HMAC-SHA256, pour que vos systèmes puissent vérifier qu’ils viennent de nous. Les assistants d’IA comme Claude et ChatGPT se connectent via notre serveur MCP avec OAuth 2.1 et PKCE : l’assistant reçoit un jeton révocable limité à quatre portées (lecture, création, modification, suppression), jamais votre mot de passe, et chaque action d’écriture vous demande une confirmation. QRCodeKIT ne reçoit pas le contenu de vos conversations avec Claude ou ChatGPT.

Exploitation et résilience

Comment la plateforme reste-t-elle disponible, et en combien de temps peut-elle repartir ?

La plateforme fonctionne derrière des répartiteurs de charge répartis sur plusieurs zones de disponibilité AWS, monte en charge horizontalement en quelques minutes et est surveillée 24 h/24 et 7 j/7, avec des alertes automatiques à l’ingénieur d’astreinte ainsi qu’à nos CTO, COO et CEO. Notre objectif de disponibilité est de 99,9 %.

Les bases de données sont sauvegardées chaque jour, de façon chiffrée, dans un emplacement distinct, et les fichiers téléversés chaque semaine. Chaque trimestre, nous répétons une reprise complète : restauration de la dernière sauvegarde, redéploiement de l’infrastructure dans une autre zone à partir du code et bascule du trafic. Notre objectif de délai de reprise est de 24 heures, avec un retour au fonctionnement normal sous 36 heures. Notre infrastructure est définie sous forme de code, ce qui permet de la reconstruire dans une autre région AWS.

Comment la sécurité est-elle intégrée au développement ?

Chaque modification est évaluée pour son impact sur la sécurité et passe une analyse statique et des contrôles de vulnérabilités des dépendances avant sa mise en production, et notre infrastructure AWS est analysée en continu par Amazon Inspector. Toute personne ayant accès au code source signe un accord de confidentialité, les accès suivent le principe du moindre privilège et sont revus chaque mois, et l’équipe suit une formation à la sécurité à son arrivée puis chaque année.

Incidents et abus

Comment les incidents de sécurité sont-ils gérés ?

Selon la procédure de réponse aux incidents de notre SMSI certifié ISO/IEC 27001. Chaque incident est consigné dans un registre des incidents, revu chaque semaine et clos par une analyse des causes et un retour d’expérience. En cas de violation de données personnelles, notre procédure prévoit d’en informer les clients concernés et les autorités compétentes. Nous suivons chaque semaine les avis des CERT nationaux et tenons un registre des menaces. Tout incident suspecté peut être signalé à tout moment à [email protected].

Comment les QR codes malveillants ou abusifs sont-ils traités ?

Tous les domaines de liens courts de QRCodeKIT sont surveillés contre le phishing, et chacun peut signaler un code suspect sur qrcodekit.com/fr/signaler-un-abus ou à [email protected]. Chaque signalement est examiné sous 6 heures, pour nos propres domaines courts comme pour les domaines de marque des clients. Les clients peuvent aussi protéger leurs propres codes par un mot de passe, une expiration programmée et un domaine personnalisé (en anglais) à leur marque.

Travailler avec nous

Qui sont les sous-traitants ultérieurs de QRCodeKIT ?

Nous tenons une liste nominative de nos sous-traitants ultérieurs, avec la finalité, la localisation et la garantie de transfert de chacun. Les données des clients sont traitées sur Amazon Web Services à Francfort, Cloudflare assurant la sécurité en périphérie ; la facturation repose sur Stripe, l’e-mail transactionnel sur Mailchimp Transactional, le support client sur HubSpot, la surveillance des performances applicatives sur New Relic et les statistiques produit sur le cloud européen de PostHog. Chaque sous-traitant ultérieur est évalué avant son intégration, et ses certifications sont revues tous les six mois. La liste complète peut être demandée à [email protected].

Pouvons-nous signer un accord de traitement des données ?

Oui. QRCodeKIT agit en tant que sous-traitant pour les données collectées par vos codes, et notre accord de traitement des données (DPA) en fixe les conditions. Demandez-le à [email protected].

Qui remplit notre questionnaire de sécurité ?

Envoyez vos questionnaires de sécurité à [email protected]. Ils sont traités par l’équipe qui pilote notre SMSI certifié ISO/IEC 27001, sous la direction de notre CTO, et nous remplissons les questionnaires propres à nos clients. Pour les offres Enterprise, la résidence des données et les contrats, écrivez à [email protected].

FAQ