La sécurité intégrée dans l'architecture.
Arckium traite des données d'exploitation pour des bâtiments, des hôpitaux et des infrastructures critiques. Cette page décrit les contrôles en place aujourd'hui. Le détail de l'infrastructure et la liste de nos sous-traitants sont disponibles sous NDA.
Isolation des locataires à chaque requête
Chaque requête authentifiée résout un contexte de locataire avant toute interrogation, et des gardes côté serveur restreignent les requêtes à l'établissement actif. Atteindre les données d'un autre établissement exige un rôle d'administrateur d'organisation et une portée groupe explicite.
Identifiants chiffrés, transport chiffré
Le trafic est servi en TLS. Les identifiants que nous conservons pour vous, à savoir mots de passe SMTP, secrets client PMS et clés de signature push, sont chiffrés en base en AES-256-GCM sous une clé conservée hors de celle-ci. Le chiffrement au niveau de l'infrastructure et la configuration de notre hébergeur sont communiqués sous NDA pendant l'appel d'offres.
Journal d'audit en ajout seul
Les actions sensibles écrivent un enregistrement portant l'identité et l'e-mail de l'auteur, l'action, la cible, l'état avant et après, et un horodatage, sur les catégories authentification, données, administration, configuration, RGPD et système.
Contrôle d'accès appliqué à l'API
Les rôles sont attribués par établissement et vérifiés par des gardes côté serveur : l'API refuse ce que l'interface ne propose pas.
Sessions signées
Les sessions utilisent des jetons JWT signés d'une durée de huit heures, validés à chaque requête.
Divulgation responsable
Signalez une vulnérabilité à contact@arcana-soft.com. Nous accusons réception sous deux jours ouvrés, trions par gravité, et vous tenons informé jusqu'à résolution. Nous ne poursuivons pas les chercheurs de bonne foi.
Vous avez trouvé une vulnérabilité ?
Nous opérons un programme de divulgation responsable. Signalez les problèmes de sécurité à contact@arcana-soft.com. Nous accusons réception dans les 24 heures et remédions dans les 14 jours. Nous n'engageons pas de poursuites judiciaires contre les chercheurs de bonne foi.