Sécurité SIN-AUTO, auditée : ce qui protège vos données aujourd'hui, et ce que nous vous devons encore
Cette livraison de notre série sur la protection des données est différente : au lieu de décrire une politique, nous avons testé nos propres pages publiques le 14 octobre 2026 et publions les résultats, y compris ce qui n'est pas encore en place.
Ce que votre connexion utilise réellement
Tous les hôtes publics testés sont servis en HTTPS avec TLS 1.3 et un chiffrement AES-256-GCM : le trafic est chiffré en transit avec un protocole actuel. Le site envoie un en-tête Strict-Transport-Security d'un an, qui demande au navigateur de refuser une connexion non chiffrée. Les requêtes passent par Cloudflare, qui place un CDN et un pare-feu applicatif devant nos serveurs.
Ce que nos pages ne collectent pas
La page d'accueil, l'index du blog et notre sitemap ne renvoient aucun en-tête Set-Cookie. L'audit de septembre donnait la même image côté client : aucun pixel publicitaire, aucun SDK d'analyse tiers ; les seuls scripts tiers livrés sont ceux de Cloudflare (obfuscation d'e-mail et balise d'analyse sans cookies). Les préférences fonctionnelles restent dans votre navigateur.
Où sont les lacunes, dites par nous
Cinq en-têtes sont absents, et nous préférons les publier :
- Aucune Content-Security-Policy : la meilleure défense contre l'injection de script n'est pas encore définie.
- Aucune protection contre l'encadrement : sans X-Frame-Options ni frame-ancestors, nos pages pourraient être encadrées par un autre site.
- Aucun en-tête nosniff : les navigateurs ne sont pas explicitement tenus de respecter nos types de contenu.
- Aucune Referrer-Policy : l'adresse de provenance peut être transmise aux liens de contact sortants.
- Aucune Permissions-Policy : caméra et microphone ne sont pas explicitement restreints.
Aucune de ces lacunes n'est une violation ni n'expose une demande à un tiers aujourd'hui : ce sont des mesures de durcissement, que nous ajouterons au niveau du CDN.
Ce que nous ne détenons pas
- Aucune donnée de carte bancaire : le site est un catalogue et un canal de demande, pas une caisse.
- Aucun profil comportemental : nous ne construisons pas de profils inter-sites et ne vendons pas de données personnelles.
- Aucun champ de demande superflu : nous demandons ce qu'exige un devis.
Comment poser une question ou signaler un problème
- Demandez ce que nous détenons : indiquez l'adresse utilisée, nous répondons.
- Demandez la suppression : nous supprimons sauf obligation légale de conservation, et le disons le cas échéant.
- Signalez une vulnérabilité : écrivez-nous avant toute publication ; nous enquêtons de bonne foi.
Avant de signer une première commande, demandez la version à jour de cet audit. Nous préférons vous remettre la liste des lacunes nous-mêmes plutôt que vous laisser la découvrir.
