Kallos by Aphrodite

Politique de sécurité

Kallos by Aphrodite prend la sécurité des données de ses clientes et clients au sérieux. Cette page décrit, en toute transparence, les mesures techniques et organisationnelles réellement mises en place, ainsi que les référentiels internationaux et camerounais qui guident nos choix.

1. Ce que cette page n'est pas

Kallos by Aphrodite n'est pas certifié ISO/CEI 27001 ni SOC 2 : ces certifications exigent un audit externe indépendant par un organisme accrédité, un processus long et coûteux, disproportionné pour une boutique en ligne de notre taille à ce stade. Nous nous inspirons en revanche sincèrement des principes de sécurité qu'elles définissent, et les appliquons concrètement ci-dessous. Aucune affirmation de certification ne doit être déduite de cette page.

2. Mesures techniques en place

  • Chiffrement en transit : l'intégralité du site est servie en HTTPS (TLS).
  • Mots de passe : jamais stockés en clair, hachés avec bcrypt (algorithme reconnu, avec sel intégré).
  • Double authentification (2FA) : les comptes administrateurs peuvent activer une double authentification par application (Google Authenticator, Authy...), conforme à la norme TOTP (RFC 6238).
  • Protection contre le bruteforce : tout compte administrateur est verrouillé temporairement après plusieurs échecs de connexion consécutifs.
  • Journalisation : les connexions, échecs de connexion et actions sensibles (gestion des comptes, changement de mot de passe) sont journalisés avec horodatage et adresse IP, pour permettre une traçabilité en cas d'incident.
  • Protection contre l'injection SQL : toutes les requêtes vers la base de données utilisent des requêtes préparées, jamais de concaténation de données utilisateur.
  • Protection contre les attaques XSS : toute donnée affichée est échappée par défaut ; le contenu riche saisi par l'administration (descriptions produit) passe par une liste blanche de balises autorisées.
  • Protection CSRF : chaque formulaire sensible est protégé par un jeton unique à usage limité.
  • Séparation des rôles : les actions administratives sensibles (gestion des comptes, consultation du journal d'audit) sont réservées au rôle "superadmin", distinct des comptes admin standards (principe du moindre privilège).
  • Prix coûtant protégé : le prix d'achat interne des produits n'est jamais exposé publiquement, uniquement visible en administration.
  • Hébergement : infrastructure hébergée chez des prestataires reconnus (Render pour l'application, Neon pour la base de données PostgreSQL, Cloudflare R2 pour les fichiers), chacun opérant ses propres mesures de sécurité et de disponibilité.

3. Référentiels qui guident nos pratiques

Sans prétendre à une certification, nos choix techniques s'inspirent des principes de contrôle d'accès, de journalisation et de gestion des incidents décrits par la norme internationale ISO/CEI 27001 (management de la sécurité de l'information) et par les critères de confiance du référentiel SOC 2 (sécurité, disponibilité, confidentialité).

Au niveau national, le traitement des données et la sécurité du site s'inscrivent dans l'esprit de la loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité au Cameroun, ainsi que des orientations de l'Agence Nationale des Technologies de l'Information et de la Communication (ANTIC).

4. Signaler une vulnérabilité

Si vous pensez avoir découvert une faille de sécurité sur ce site, merci de nous en informer de manière responsable à contact@kallos-by-aphrodite.beauty avant toute divulgation publique, en décrivant le problème avec le plus de détails possible. Nous nous engageons à accuser réception et à traiter tout signalement légitime avec sérieux.

5. Évolution de cette politique

Nos pratiques de sécurité évoluent avec la croissance du site. Cette page sera mise à jour en conséquence. Voir aussi notre politique de confidentialité pour le traitement des données personnelles.