Sécurité & vie privée chez Vitrily.

Vitrily est édité par AGENSIO AI, dont la stack a passé un audit de sécurité CASA Tier 2 en avril 2026, mené par TAC Security, avec un score de 9,1/10. CASA (Cloud Application Security Assessment) est le référentiel exigé par Google pour les applications qui manipulent des données utilisateurs sensibles, et le niveau Tier 2 correspond aux plateformes SaaS établies.

L'audit couvre le cycle de développement sécurisé, la couverture OWASP Top 10, les tests d'intrusion, la revue de code, l'analyse des dépendances, la gestion des incidents et la classification des données. Chaque déploiement de Vitrily hérite de la même posture : même Content Security Policy, même chaîne OAuth, même surveillance Sentry, même processus de revue avant mise en production.

• Audit TAC Security · avril 2026, score 9,1/10, référentiel CASA Tier 2.
• Couverture OWASP Top 10 · SQLi, XSS, CSRF, SSRF, IDOR, SSPP tous revus et corrigés.
• Analyse continue des dépendances · npm audit + alertes de sécurité Vercel à chaque déploiement.

Chaque octet de donnée client (comptes, sites, réservations, médias, analytics) vit sur Supabase Postgres, à Francfort en Allemagne. L'application Vitrily elle-même tourne sur l'edge européen de Vercel, et les emails sont routés via la région UE de Resend. Aucun repli vers une région US, aucune mise en cache CDN de données personnelles hors UE, aucun outil d'analytics tiers qui expédierait vos données comportementales de l'autre côté de l'Atlantique.

Vitrily termine TLS 1.3 sur chaque connexion, HSTS activé partout. Les mots de passe sont hachés avec Argon2id (memory-hard, résistant aux attaques par GPU). Les cookies de session sont signés HMAC avec un secret serveur en rotation. Les secrets de base de données, jetons OAuth et clés Stripe sont stockés en variables d'environnement chiffrées sur Vercel, jamais committés dans le code, et tournés à cadence programmée.

• TLS 1.3 · sur chaque requête, HSTS 1 an, éligible preload.
• Hachage Argon2id des mots de passe · memory-hard, résistant aux attaques par GPU.
• Cookies de session signés HMAC · HttpOnly, Secure, SameSite=Lax par défaut.
• Rotation des secrets · variables d'environnement chiffrées Vercel, tournées en cas de suspicion.

Chaque couche est durcie, pour qu'une erreur isolée ne devienne jamais une brèche. Ces protections sont livrées avec chaque compte Vitrily, sans configuration.

• Content Security Policy stricte · aucun script en ligne autorisé sur les pages exposées, CDN listés explicitement.
• Protection CSRF · chaque requête qui modifie l'état est signée par un jeton unique de session.
• Rate limiting distribué · connexion, inscription et API bridées par IP et par utilisateur.
• Hachage des IP pour l'analytics · aucune IP brute stockée, uniquement des hachages tronqués à sens unique, aucun cookie posé.
• Monitoring Sentry · chaque incident tracé, alerté et revu sous 24 h.
• Fichiers scannés à l'upload · chaque image ou média passe un contrôle de signature avant d'arriver sur votre site.