🔍 Les 4 Types d'Audits de Cybersécurité Menés chez DUERP Go !
Inspirés des recommandations de l'ANSSI et du cadre méthodologique de référence du secteur (notamment décrit par Ageval), la protection de notre plateforme repose sur 4 approches complémentaires :
1. Audit Organisationnel
Évalue les politiques de sécurité (PSSI), la gouvernance interne, les rôles et habilitations, la sensibilisation des équipes et la conformité au RGPD (Art. 32). Il s'assure que les processus humains et légaux encadrent rigoureusement les données sensibles.
2. Audit Technique / Pentest
Simulation d'attaques réalistes (boîte noire, boîte grise) éprouvant la résistance du portail web public, de l'Espace Pro et des APIs. Il teste les mécanismes d'authentification double-clé (OTP), le déchiffrement RAM éphémère et les défenses anti-force brute.
3. Audit de Code Source
Revue statique et dynamique approfondie du code applicatif (PHP 8.5, JavaScript Node.js). Il traque les erreurs de logique, les injections SQL potentielles, les faiblesses de comparaison cryptographique et les dépendances logicielles.
4. Audit d'Architecture & Configuration
Vérifie le durcissement du serveur web (Apache / Linux), le cloisonnement des bases MySQL, les protocoles cryptographiques (TLS 1.3, AES-256-GCM), les en-têtes HTTP de sécurité (HSTS, CSP) et la résilience des sauvegardes 40 ans.
📊 Registre Public des Évaluations & Audits
Retrouvez l'historique exhaustif des évaluations de sécurité réalisées sur l'infrastructure DUERP Go !, leurs résultats synthétiques et le lien vers le rapport complet :
| Type d'audit | Ce qui a été évalué | Quand | Résultats grossiers | Voir le rapport |
|---|---|---|---|---|
| Audit Technique Interne & Tests d'Intrusion + Revue de Code Source |
Plateforme globale DUERP Go ! Espace Pro, authentification double-clé OTP, déchiffrement RAM éphémère, endpoints API REST, requêtes SQL PDO et générateur PDF. |
05/10/2026 Mise en production |
✓ Score 98/100 Risque résiduel : Faible 7 vulnérabilités corrigées |
Voir le rapport → |
| Audit d'Architecture & Config Durcissement & Chiffrement |
Serveur Web & En-têtes HTTP En-têtes HSTS Preload (1 an), CSP stricte, blocage fichiers sensibles (.env, .git) et chiffrement TLS 1.3 / AES-256. |
05/10/2026 Audit continu |
✓ Grade SSL A+ Durcissement OWASP 100 % Conforme |
Voir l'architecture |
| Audit Organisationnel Gouvernance & Archivage 40 Ans |
Politique RGPD & Conservation Conformité Art. L. 4121-3-1 (traçabilité des expositions, scellement SHA-256 et notifications d'incidents sous 72h). |
05/10/2026 Revue trimestrielle |
✓ Homologué DPO & Processus légal Validé |
Voir gouvernance |
🤝 Engagements, Fréquence des Audits & Signalement Éthique
Notre démarche de sécurité s'inscrit dans la durée pour protéger les entreprises qui hébergent leur(s) DUERP(s) chez nous :
🔄 Fréquence des Audits
Un audit complet de cybersécurité (code, pentest et configuration) est reconduit annuellement et systématiquement lors de toute refonte majeure de l'infrastructure ou du moteur de chiffrement.
🚨 Gestion des Incidents
En cas d'incident significatif, la direction technique déclenche une procédure de remédiation immédiate sous astreinte 24/7 et notifie la CNIL ainsi que les entreprises concernées sous 72 heures (RGPD Art. 33).
📬 Divulgation Responsable (VDP)
Vous avez décelé une anomalie ? Signalez-la à notre équipe sécurité à contact@duerpgo.fr. Nous répondons sous 48h ouvrées et nous engageons à ne poursuivre aucun chercheur de bonne foi.