Sécurité de Vandolo

• Double authentification imposée — Elle n'est pas proposée, elle est exigée : un compte sans second facteur est arrêté à la porte et conduit à l'enrôlement. Vérifié côté serveur à chaque requête, pas seulement à la connexion.
• Second code redemandé pour agir — Mettre une campagne en pause ou modifier un budget redemande le code, qui vaut ensuite quinze minutes. Une session ouverte ne suffit pas.
• Connexion unique SAML 2.0 — Votre annuaire d'entreprise (Entra ID, Okta, Google Workspace) peut authentifier vos équipes. L'assertion de votre annuaire vaut alors second facteur à la connexion ; l'écriture dans une régie continue d'exiger un code que Vandolo contrôle.
• Alerte sur changement de facteur — Ajouter ou retirer un moyen d'authentification déclenche un email. Un attaquant qui remplacerait votre second facteur ne peut pas le faire en silence.
• Sessions bornées — Trente jours au maximum, sept jours d'inactivité, et rotation des jetons de rafraîchissement : un jeton réutilisé est détecté et la session invalidée.
• Rôles — Propriétaire, administrateur, membre, lecteur. Inviter quelqu'un ou créer une clé d'accès demande le droit de gérer les accès — ce n'est pas un réglage.

Votre espace de travail est déterminé côté serveur, à partir de votre session authentifiée et de vos adhésions — jamais à partir d'une valeur envoyée par votre navigateur. Chaque lecture de données est filtrée sur cet espace.

Chaque espace de travail est isolé au niveau de la base de données, par des règles de sécurité au niveau des lignes (RLS). Les tables qui portent des secrets — configurations de connecteurs, empreintes de clés d'accès — ont la RLS activée sans aucune politique : ni le navigateur ni la clé publique ne peuvent les lire, quoi qu'il arrive. Seul le serveur y accède.

• Un cache chiffré, rangé par client — Pour la rapidité, les réponses des régies publicitaires, de Google Analytics, de la Search Console, de HubSpot et de Signalo sont gardées de cinq minutes à vingt-quatre heures selon la donnée, dans le cache de notre hébergeur, à Francfort. Chaque copie est rangée sous l'identifiant de votre espace et chiffrée (AES-256-GCM) avec une clé propre à votre espace, dérivée d'un secret qui ne quitte pas nos serveurs. Aucun jeton d'accès n'y est écrit, une erreur n'y est jamais gardée, et sans espace identifié rien n'y est lu ni écrit.
• L'état des connexions ne passe pas d'un client à l'autre — Savoir si une régie est connectée, et le message d'erreur qu'elle renvoie, est propre à chaque requête et à chaque client : deux clients servis au même moment par le même serveur ne peuvent pas s'échanger ces informations.
• Aucune réponse conservée par un cache partagé — Les pages du produit et les réponses de nos API sont marquées « privé, ne pas stocker » : ni notre réseau de distribution, ni un proxy d'entreprise ne les conservent.

Comment nous le vérifions. Un test d'isolation fait partie du code de Vandolo. Il fait tourner le moteur de cache réel avec deux clients fictifs qui interrogent la même adresse, et contrôle vingt-trois points : chaque client ne reçoit que ses propres réponses, y compris lors de quarante lectures simultanées ; rien n'est mis en cache sans espace identifié ni sans secret de chiffrement ; le stockage ne contient ni jeton ni donnée en clair ; l'état des connexions ne passe pas d'un client à l'autre. Il s'exécute à chaque mise à jour du code : une version qui le ferait échouer n'est pas mise en ligne.

• Une copie figée, rien d'autre — Un lien de partage donne accès à l'instantané du rapport pris au moment du partage : ni à votre compte, ni à vos données à jour, ni à aucune autre page.
• Un lien imprévisible et révocable — Il contient un jeton aléatoire de 122 bits. Il n'est pas indexé par les moteurs de recherche, n'est conservé par aucun cache, et cesse de fonctionner dès que vous le révoquez.
• Une référence propre à votre compte — Chaque rapport porte une référence, sans donnée personnelle, qui permet d'établir son origine s'il est recopié.

Les inscriptions en série et les copies du site publiées sous un autre nom de domaine — par exemple un faux site recopié à partir du nôtre pour capter des identifiants — sont détectées et signalées à notre équipe. Le journal de ces signaux n'est accessible qu'au serveur, et il est conservé douze mois au plus.

Les jetons qui donnent accès à vos comptes publicitaires ne quittent jamais le serveur. Le navigateur reçoit un booléen disant qu'une valeur est renseignée, jamais la valeur. Les clés d'accès pour assistants IA (MCP) ne sont stockées que sous forme d'empreinte SHA-256 : une fuite de cette table ne donne accès à rien, et nous sommes nous-mêmes incapables de retrouver une clé perdue.

Un assistant IA ne modifie rien de lui-même : il peut proposer une pause, un budget, un ciblage, une duplication ou une création (toujours en pause), et l'action attend qu'un membre la valide dans Vandolo avec son second code. Un jeton posé dans la configuration d'un assistant est une session ouverte en permanence : lui laisser l'écriture sans validation contredirait la garantie du second code. Un propriétaire ou un administrateur peut toutefois activer un mode direct pour son espace, code 2FA à l'appui : il ne vaut que pour un assistant connecté par OAuth au nom d'un membre autorisé, jamais pour une clé fixe, et une variation de budget au-delà du plafond choisi repasse en validation.

Base de données et authentification : Francfort, Union européenne. Exécution des fonctions serveur : Francfort également. Chiffrement en transit (TLS) et au repos.

La liste complète de nos sous-traitants, avec leur rôle et leur zone de traitement, est publiée ci-dessous et dans la politique de confidentialité. Un accord de sous-traitance (DPA) est disponible.

Les régies que vous connectez vous-même (Google (Ads, Analytics 4, Search Console) ; Meta (Facebook, Instagram) ; LinkedIn, TikTok, Snapchat, Microsoft, Pinterest, Reddit) ne sont pas nos sous-traitants : elles détiennent déjà vos données, et Vandolo les lit sur votre mandat.

Cette section existe parce qu'un acheteur la cherchera de toute façon, et qu'il vaut mieux qu'il la trouve écrite par nous.

• Pas de rapport SOC 2 — Aucun rapport SOC 2 Type I ou Type II n'a été émis à ce jour. Un tel rapport est délivré par un cabinet d'audit indépendant après une période d'observation ; il ne s'obtient pas en écrivant du code. Les contrôles techniques décrits sur cette page en constituent la matière, pas la preuve. Nous ne revendiquerons SOC 2 que le jour où un rapport existera, et il sera fourni sur demande.
• Pas de test d'intrusion indépendant — Aucun audit de sécurité externe n'a encore été commandé.
• Pas de certification ISO 27001 — Ni engagée, ni en cours.
• Pas d'engagement de disponibilité contractuel — Aucun SLA chiffré n'est proposé aujourd'hui.
• Pas d'effacement immédiat des copies en cache — À la fermeture d'un compte, les copies chiffrées restées dans le cache de notre hébergeur ne sont pas effacées une à une : elles périment, et l'hébergeur les supprime à mesure qu'il libère de la place. Elles restent illisibles sans notre secret de chiffrement.

Écrivez à contact@vandolo.com. Nous accusons réception sous deux jours ouvrés et vous tenons informé jusqu'à la correction. Nous n'engageons aucune poursuite contre une recherche menée de bonne foi qui ne dégrade pas le service et ne touche pas aux données d'autrui.