Sécurité

HumanLayer traite des décisions qui engagent des professionnels et des organisations. Cette page décrit les mesures effectivement en place ; elle est mise à jour à chaque évolution.

Infrastructure

• Chiffrement en transit : toutes les communications passent en HTTPS (TLS 1.2 et plus, TLS 1.3 lorsque le navigateur le permet), avec HSTS.
• Secrets chiffrés au repos : les secrets de double authentification sont chiffrés en AES-256-GCM ; les clés d’API ne sont conservées que sous forme d’empreinte SHA-256 ; les mots de passe sont hachés avec scrypt.
• Hébergement : infrastructure cloud certifiée SOC 2 Type II. Le code serveur n’est pas publié avec le site.
• Isolation : chaque clé d’API n’accède qu’à ses propres demandes, chaque client qu’à ses clés et décisions, chaque Sentinel qu’aux dossiers qui lui sont assignés.
• Navigateur : politique de sécurité du contenu (CSP) stricte, intégration en iframe interdite, portails exclus de l’indexation.

Authentification et accès

• Double authentification (TOTP) obligatoire pour tous les Sentinels : elle ne peut pas être désactivée, seulement renouvelée, et un code déjà utilisé est refusé.
• Accès administrateur protégé par mot de passe et second facteur obligatoire.
• Rôles séparés (administration, Sentinels, clients), chacun avec son propre secret de signature des sessions.
• Sessions de 12 h au plus, avec déconnexion automatique ; le statut du compte est revérifié à chaque requête, si bien qu’une suspension prend effet immédiatement.
• Tentatives limitées : blocage temporaire après 5 échecs de connexion sur un compte, limites par adresse IP et par clé d’API.
• Journal d’audit des connexions et des actions sensibles (décisions, clés d’API, habilitations, double authentification), exportable.

Intégrité des décisions

• Chaque décision est signée (Ed25519) : identifiants, verdict, empreinte de la justification, pseudonyme du Sentinel et horodatage. La clé publique est publiée (/api/v1/decision-key) : toute altération est détectable.
• Une seule décision finale par demande, enregistrée de façon atomique.
• Webhooks signés (HMAC-SHA256, secret propre à chaque clé d’API) ; adresses de rappel limitées à HTTPS et aux hôtes publics.
• SLA suivis en continu : tout dépassement est signalé et la demande est réassignée automatiquement.

Vérification des Sentinels

• Vérification d’identité avant activation
• Validation des qualifications professionnelles et habilitations
• Suspension possible à tout moment, avec effet immédiat
• Traçabilité complète de chaque décision

Conformité réglementaire

• RGPD (Règlement général sur la protection des données)
• Loi 25 (Québec)
• SOC 2 Type II (en cours de certification)
• ISO 27001 (planifié)

Signalement de vulnérabilités

Si vous découvrez une faille de sécurité, écrivez-nous à humanlayer@probalink.com. Nous nous engageons à traiter tout signalement dans les 24 heures.

Tests et revues

• Tests automatisés de l’authentification, de la double authentification, des limites de tentatives, de la signature des décisions et de l’isolation des données, exécutés à chaque modification.
• Revue de sécurité du code (dernière : septembre 2026).
• Tests d’intrusion par un tiers indépendant : planifiés.