Aperçu de la sécurité

Isolation des locataires

Les lignes de chaque espace de travail sont séparées par une sécurité au niveau des lignes appliquée dans Postgres, pas seulement dans le code applicatif ; les index de recherche ont été conçus pour fonctionner sous cette politique plutôt qu'autour d'elle. Les fichiers téléversés sont stockés sous des clés propres à chaque espace de travail et servis en téléchargement, sauf s'il s'agit d'images ; les fichiers d'un chat parviennent aux visiteurs par des liens qui expirent au bout de dix minutes. Un espace de travail suspendu ou fermé arrête d'un coup chaque clé API, jeton d'application et de bot, session, chat et connexion en direct. Les photos sont stockées sans la localisation, l'appareil et les autres métadonnées que les téléphones y inscrivent.

Identité

Les mots de passe sont hachés avec Argon2id. Chaque personne peut activer la double authentification depuis la page de sécurité de son compte : scanner un QR code dessiné dans le navigateur, confirmer avec un code et conserver des codes de récupération à usage unique ; la désactiver exige le mot de passe et un code. La même page liste chaque navigateur connecté, pour en déconnecter un ou tous les autres. Les espaces de travail peuvent ajouter leurs propres fournisseurs d'authentification unique via OpenID Connect, limités à leurs domaines de messagerie ; toute personne ayant activé la double authentification doit tout de même saisir son code. Les administrateurs peuvent exiger la double authentification pour chaque membre, immédiatement ou après un délai de grâce de sept ou quatorze jours, et les administrateurs de la plateforme Kommio sont tenus de l'utiliser. Les sessions sont gérées côté serveur, avec des durées de vie absolues et d'inactivité. Les clés API, les jetons de bot et les jetons d'application sont stockés sous forme de hachages, restreints à un espace de travail et à un ensemble de permissions.

Autorisation

Les rôles décident des permissions, des conversations qu'une personne peut voir, et si les champs sensibles, comme les e-mails, les téléphones, les données de paiement et les adresses IP, sont visibles, masqués ou cachés. Personne ne peut créer un rôle, modifier un membre, inviter quelqu'un ou approuver une application avec plus qu'il ne détient lui-même. Les automatisations s'exécutent avec les permissions de la personne qui les a créées ; les applications s'exécutent avec les portées qu'un administrateur a approuvées lors de l'installation. Désactiver ou retirer un membre, restreindre son rôle, révoquer une clé API ou suspendre un espace de travail affiche d'abord ce qui est concerné et exige de saisir l'e-mail, le nom de la clé ou le nom de l'espace de travail ; les règles, bots, webhooks et applications d'un membre qui part peuvent être confiés à un collègue qui détient les permissions nécessaires, et les règles dont l'auteur est parti se mettent en pause jusqu'à ce que quelqu'un les reprenne. Les attributs personnalisés qui contiennent des pièces d'identité, des données de paiement ou d'autres données personnelles peuvent être marqués pour suivre les mêmes règles, et la page Accès montre, pour chaque personne, quelles conversations elle voit et comment elle voit chaque type de donnée. Les fichiers qui contiennent une pièce d'identité ou d'autres données personnelles peuvent être marqués depuis le fil ou par une règle, et suivent alors la même autorisation : affichés, masqués ou cachés selon le rôle, jamais envoyés à un fournisseur d'IA, listés dans les exports uniquement pour les personnes qui les voient, et supprimés après la durée de conservation que l'espace de travail fixe pour les pièces d'identité.

Audit

Chaque modification enregistre qui, quoi, avant et après. Révéler une valeur masquée est une permission distincte et crée sa propre entrée d'audit, avec un motif facultatif, et la page Politique de sécurité liste qui a révélé quoi au cours des 30 derniers jours, avec un lien vers le journal d'audit. Quand le site web d'un client met à jour le nom ou l'e-mail d'un contact à la connexion, ou fusionne un chat anonyme antérieur, la modification est enregistrée et affichée sur le contact. Chaque e-mail entrant est aussi conservé tel qu'il est arrivé, 90 jours par défaut (un réglage de l'espace de travail), et supprimé dès que le contact est effacé ; seule une personne qui gère les boîtes de réception et peut lire tout le message en clair peut en télécharger une copie, et chaque téléchargement est journalisé dans l'audit.

Chiffrement

Les identifiants de canal, les secrets SSO, les clés des fournisseurs d'IA et les jetons sont chiffrés au repos avec un chiffrement par enveloppe et ne sont plus jamais affichés une fois enregistrés. TLS est utilisé partout en transit.

Chat du site web

Les sites autorisés à afficher le chat d'un espace de travail sont imposés par le navigateur lui-même. Un visiteur ne devient un contact que lorsqu'il y a une conversation : un visiteur anonyme n'est connu que par un jeton aléatoire dans son navigateur, sans empreinte de navigateur, et un visiteur connecté dont le site se porte garant de l'identité est conservé comme une session de chat, pas comme un contact, jusqu'à ce qu'il écrive, qu'un agent engage un chat avec lui ou qu'il laisse un e-mail ; une session sans activité depuis 30 jours (la durée est un paramètre de l'espace de travail) est supprimée. Le contexte de navigation n'est envoyé qu'avec le premier message. Le site d'un client identifie les visiteurs connectés par une signature de son propre serveur, et un e-mail saisi dans le chat ne relie jamais à lui seul deux personnes entre elles. Chaque espace de travail décide si les adresses IP des visiteurs sont conservées en entier, tronquées ou pas du tout.

Assistance IA

Désactivée tant qu'un administrateur ne l'active pas, avec le quota d'IA gratuit de Kommio Cloud ou avec la propre clé de fournisseur de l'espace de travail. Seul ce dont une tâche a besoin est envoyé : les messages récents, le nom du client, et les e-mails ou téléphones uniquement si la personne qui demande a le droit de les voir. Les champs de paiement et de pièce d'identité, les numéros de carte saisis dans les messages, les notes privées pour les suggestions de réponse et les attributs personnalisés ne sont jamais envoyés. Kommio ne conserve ni requêtes ni réponses, seulement des compteurs d'usage pour le budget. L'agent IA facultatif répond uniquement à partir de votre base de connaissances, ne montre jamais de contenu interne aux clients, ne reçoit ni les e-mails ni les numéros de téléphone des contacts, et passe le relais à une personne en cas de doute.

Confiance entrante et sortante

Les webhooks des fournisseurs sont vérifiés par signature avant d'être analysés. Les requêtes sortantes vers des URL fournies par les clients (webhooks, bots, applications, fournisseurs d'IA) passent par un unique client protégé contre le SSRF, qui refuse les plages privées et plafonne la taille et la durée. Les webhooks sortants, les livraisons aux bots et les hooks d'applications sont signés. Les corps d'e-mails HTML sont assainis à l'écriture puis à nouveau à l'affichage. Les installations auto-hébergées peuvent faire analyser par ClamAV chaque fichier envoyé ou reçu avant de le stocker : un fichier signalé est refusé ou remplacé par un espace réservé et n'est jamais servi. C'est désactivé par défaut, et Kommio Cloud n'analyse pas encore les fichiers.

Navigateur

L'application agent est servie avec une Content Security Policy stricte : scripts, polices et connexions de même origine uniquement, aucun frame ni objet, et elle ne peut pas être intégrée. Les panneaux d'applications s'exécutent dans des iframes en bac à sable avec un contexte signé et de courte durée.

Opérations

Des rôles de base de données appliquant le principe du moindre privilège, une analyse des dépendances et des conteneurs à chaque changement, des versions publiées uniquement après la réussite de toute la suite de tests et la répétition d'une mise à jour depuis les versions précédentes, et un processus de divulgation documenté. Kommio Cloud se déploie sans interruption : la nouvelle version démarre à côté de l'ancienne et prend le relais une fois prête. Les installations auto-hébergées disposent de sauvegardes intégrées, désactivées par défaut, qui écrivent un dump chiffré de la base de données et les fichiers stockés sur un disque ou dans un bucket selon un calendrier ; la clé de chiffrement ne fait jamais partie d'une sauvegarde. Sur Kommio Cloud, l'inscription est limitée en débit par adresse et par domaine de messagerie, et les adresses e-mail jetables sont refusées. Les sauvegardes auto-hébergées sont restaurées chaque semaine dans une base de données de test puis vérifiées, avec une alerte en cas d'échec, et peuvent aussi être chiffrées pour une clé de séquestre conservée hors ligne.

Signaler une vulnérabilité

Écrivez à [email protected]. Nous accusons réception sous deux jours ouvrés et vous tenons informé jusqu'à la résolution du problème.