Sécurité

Les registres d'élevage, les registres de traitements et les historiques de chargements sont des données critiques pour l'activité. Cette page décrit comment Mule protège les systèmes qu'elle construit et exploite. Les clients reçoivent l'ensemble des mesures dans leur DPA et peuvent poser des questions de sécurité à tout moment.

1. Principes

• Vos données, selon vos règles. Les systèmes des clients sont hébergés dans l'UE ou aux États-Unis, au choix du client. Le Mule Portal fonctionne dans l'UE (Francfort) sur une base de données partagée, où chaque lecture et chaque écriture sont limitées à l'organisation du client par l'application.
• Moindre privilège. Le personnel et les utilisateurs ne reçoivent que les accès nécessaires à leur rôle. Les autorisations sont vérifiées sur le serveur à chaque requête, et pas seulement dans l'interface.
• Des enregistrements probants. Les enregistrements importants, tels que les chargements, les traitements et les signatures, sont en ajout seul (append-only), avec l'heure de l'appareil et l'heure du serveur, de sorte que toute modification laisse une trace.

2. Accès

• Authentification multifacteur pour chaque compte du personnel de Mule ainsi que pour les rôles propriétaire et facturation des clients dans le portail.
• Les accès à la production sont journalisés et retirés dans un délai de 1 jour ouvrable après un changement de rôle.
• Aucun compte partagé.

3. Protection des données

• TLS 1.2 ou supérieur pour tout le trafic ; chiffrement au repos assuré par nos fournisseurs d'hébergement et de base de données.
• Secrets conservés dans un coffre géré, jamais dans le code ni dans une messagerie instantanée.
• Sauvegardes chiffrées quotidiennes, avec un test de restauration au moins tous les 6 mois.
• Les applications de terrain qui fonctionnent hors ligne conservent une file d'attente locale chiffrée et se synchronisent dès le retour du réseau.

4. Développement logiciel

• Revue de code pour chaque modification, analyse des dépendances et détection des secrets, environnements de préproduction et de production séparés.
• Aucune donnée personnelle de production non masquée en développement.
• Mises à jour de sécurité des frameworks et des dépendances appliquées chaque mois, et correctifs critiques dès que possible, dans le cadre de chaque forfait.

5. Site web

• En-têtes de sécurité stricts, dont une Content Security Policy, HSTS et une protection contre l'intégration dans des cadres (frames).
• Aucun script tiers facultatif n'est chargé avant le consentement.

6. Incidents

Mule tient un plan écrit de réponse aux incidents. Les clients sont informés de toute violation de données à caractère personnel affectant leurs données dans les meilleurs délais et au plus tard dans les 48 heures après que Mule en a pris connaissance.

7. Certifications

Mule ne détient pas, à ce jour, de certification ISO 27001 ou SOC 2. Nous ne publierons ici une certification qu'une fois celle-ci obtenue.

8. Signaler une vulnérabilité

Voir Divulgation responsable et notre fichier security.txt.