Sécurité

Vos données sont stockées dans l’Union européenne. EXITO Media LLC, qui exploite le Service, est une société américaine ; notre Politique de confidentialité explique ce que cela implique pour vos données.

Fonctionnement de l’ensemble

• Un serveur renforcé. L’application Web, le serveur de messagerie (Stalwart, que nous exploitons nous-mêmes), les bases de données PostgreSQL et le cache s’exécutent dans des conteneurs isolés sur notre serveur. Les bases de données, le cache et l’interface d’administration du serveur de messagerie sont uniquement accessibles depuis l’intérieur du serveur, jamais depuis Internet.
• Contenu dans le stockage d’objets. Le corps des messages, les pièces jointes, les fichiers Exito Vault et les fichiers Exito Transfer sont conservés dans un stockage d’objets distinct du serveur. Les fichiers Exito Vault et Exito Transfer sont importés et téléchargés directement entre votre navigateur et le stockage (Wasabi ou Cloudflare R2), à l’aide de liens signés à courte durée de validité qui ne fonctionnent que pour un seul fichier. Le fournisseur de stockage voit donc également votre adresse IP.
• Connexion directe pour les e-mails. Les autres serveurs de messagerie, ainsi que les applications de messagerie utilisant SMTP, IMAP ou JMAP sur mail.exitomail.com, se connectent directement à notre serveur et ne passent jamais par Cloudflare. Nous envoyons les e-mails depuis nos propres adresses IP, sans relais tiers.
• L’application Web derrière Cloudflare. Notre site Web et l’application Web à l’adresse exitomail.com (les interfaces de messagerie Web, de Exito Vault et de Exito Transfer dans votre navigateur) sont diffusés via le réseau Cloudflare, qui les protège contre les attaques. Votre connexion chiffrée prend fin à la périphérie du réseau Cloudflare, qui transmet le trafic à notre serveur ; les e-mails et fichiers que vous ouvrez dans l’application Web transitent donc par Cloudflare.

En transit

• Web. Toutes les pages et API sont accessibles via HTTPS, avec HTTP Strict Transport Security (HSTS), afin que les navigateurs ne reviennent jamais à une connexion non chiffrée. Les certificats sont émis par Let’s Encrypt et renouvelés automatiquement.
• Applications de messagerie. IMAP (port 993) et la soumission SMTP (ports 465 et 587) sont uniquement proposés via TLS. Votre mot de passe et vos messages ne sont donc jamais envoyés en clair entre votre appareil et nos systèmes.
• De serveur à serveur. Lorsque nous échangeons des e-mails avec d’autres fournisseurs, nous utilisons STARTTLS dès lors que l’autre serveur le prend en charge. Nous publions une politique MTA-STS afin que les autres serveurs sachent qu’ils doivent utiliser TLS pour nous remettre des messages, et nous recevons des rapports TLS (TLS-RPT) afin de détecter les problèmes de distribution. Comme il est d’usage pour les e-mails, si l’autre serveur ne prend pas en charge TLS et ne publie aucune politique l’imposant, un message peut transiter entre les deux serveurs sans être chiffré.

Au repos

Le contenu des e-mails, les pièces jointes, les fichiers Exito Vault, les fichiers Exito Transfer et les sauvegardes sont conservés dans un stockage d’objets que nos fournisseurs chiffrent au repos. Avant leur importation, les sauvegardes sont également chiffrées sur notre propre serveur à l’aide d’une clé que nous contrôlons.

Authentification des e-mails

Chaque message que nous envoyons est signé avec DKIM (à l’aide de clés Ed25519 et RSA), et notre domaine publie des enregistrements SPF et DMARC, afin que les serveurs destinataires puissent vérifier que l’e-mail provient bien de nous. Lorsque vous connectez un domaine personnalisé, nous vous fournissons les mêmes enregistrements à publier et les vérifions avant la mise en service de votre domaine.

• Principe du moindre privilège. Seul un petit nombre de personnes nommément désignées peuvent administrer nos systèmes, chacune disposant uniquement des accès nécessaires à son rôle. Les accès sont régulièrement réexaminés et rapidement supprimés en cas de départ.
• Clés SSH uniquement. L’accès administratif à notre serveur s’effectue au moyen de clés SSH. La connexion par mot de passe est désactivée.
• Authentification multifacteur. Nous utilisons l’authentification multifacteur sur les consoles d’administration de nos fournisseurs d’hébergement, de stockage, de DNS et de paiement, ainsi que sur nos propres comptes administrateur.
• Identifiants d’accès distincts. Chaque composant du Service utilise ses propres identifiants d’accès, assortis uniquement des autorisations dont il a besoin ; par exemple, chaque base de données possède son propre rôle.
• Journal d’audit. Les actions administratives effectuées dans nos outils, comme la suspension d’un compte, sont consignées dans un journal d’audit.

Cas dans lesquels notre personnel peut accéder à votre contenu

Nous ne consultons pas vos e-mails, fichiers ou transferts. Notre personnel accède au contenu uniquement lorsque cela est nécessaire :

• pour vous aider, lorsque vous nous demandez d’examiner un élément précis ;
• pour enquêter sur un problème de sécurité ou un signalement d’abus ; ou
• pour respecter une obligation légale, comme décrit dans notre Politique de confidentialité.

Un tel accès est limité à ce qu’exige la tâche et consigné dans le dossier d’assistance ou de signalement d’abus correspondant.

• Mots de passe. Les mots de passe doivent comporter au moins 10 caractères. Nous les stockons uniquement sous forme de hachages salés à sens unique, jamais en clair, de sorte que même nous ne pouvons pas les voir.
• Authentification à deux facteurs. Vous pouvez ajouter une deuxième étape à la connexion à l’aide d’une application d’authentification. Nous vous le recommandons vivement, en particulier si vous êtes propriétaire ou administrateur d’une organisation.
• Limitation des tentatives de connexion. Le nombre de tentatives de connexion est limité afin de ralentir les tentatives visant à deviner votre mot de passe.
• Adresse e-mail de récupération. Nous vous recommandons d’ajouter et de valider une adresse e-mail de récupération. Les liens de réinitialisation du mot de passe sont envoyés uniquement à une adresse de récupération validée, jamais à la boîte aux lettres à laquelle vous n’avez plus accès. Ils expirent après 30 minutes et la réinitialisation de votre mot de passe met fin à toutes vos autres sessions.
• Sessions. Les cookies de session utilisent les attributs HttpOnly et Secure, et les requêtes sont contrôlées afin d’empêcher la falsification de requêtes intersites. Les sessions prennent fin après 30 jours d’inactivité. La modification de votre mot de passe, de votre adresse e-mail de récupération ou de vos paramètres d’authentification à deux facteurs, ainsi que la suppression de votre compte, nécessitent votre mot de passe actuel.
• Notifications de sécurité. Lorsque votre mot de passe est modifié, nous vous en informons par e-mail à votre adresse de récupération validée.

• Clés DKIM. Notre serveur de messagerie génère ses propres clés de signature DKIM (Ed25519 et RSA). Il les renouvelle tous les 90 jours pour notre propre domaine et pour les domaines personnalisés dont il gère automatiquement le DNS.
• Certificats TLS. Les certificats sont émis et renouvelés automatiquement afin de ne jamais expirer.
• Secrets. Les mots de passe, les clés d’API et les autres secrets sont conservés sur le serveur, en dehors de notre base de code, et seul son compte administrateur peut les lire. Ils n’apparaissent jamais dans le dépôt de notre code source.
• Clés de chiffrement des sauvegardes. Les sauvegardes sont chiffrées avec une paire de clés dont la clé privée est conservée uniquement hors ligne, jamais sur nos serveurs. Elles peuvent ainsi être restaurées même en cas de perte du serveur et sont inutilisables pour quiconque n’obtient que les fichiers de sauvegarde.
• Webhooks vérifiés. Les notifications de paiement de Stripe sont acceptées uniquement si elles comportent une signature cryptographique valide.
• Rotation des identifiants d’accès. Nous renouvelons les identifiants d’accès lorsqu’une personne qui y avait accès quitte ses fonctions, et immédiatement dès que nous soupçonnons qu’un identifiant a été compromis.

• Journaux. Nos serveurs conservent les journaux de sécurité, d’accès et de distribution des e-mails, y compris les adresses IP, pendant 30 jours. Nous les utilisons pour assurer le fonctionnement du Service, enquêter sur les problèmes et détecter les abus, jamais à des fins publicitaires ou de profilage.
• Surveillance automatisée. Toutes les 5 minutes, un dispositif automatisé contrôle nos conteneurs, le site Web, le service SMTP, l’expiration du certificat IMAPS, l’espace disque et l’ancienneté de notre dernière sauvegarde. Il nous alerte en cas de changement.
• Prévention des intrusions. Les adresses à l’origine d’échecs répétés de connexion au serveur sont automatiquement bloquées.
• Rapports de messagerie. Nous examinons les rapports agrégés DMARC et les rapports TLS de notre domaine afin de détecter les usurpations et les problèmes de distribution.

• Données sauvegardées. Chaque nuit, nous sauvegardons un export de chacune de nos bases de données (comptes, paramètres, métadonnées et index des e-mails, enregistrements de Exito Vault et des transferts), ainsi que la configuration de notre serveur.
• Emplacement. Dans la région EU-Central-1 de Wasabi (Amsterdam), distincte de la région de Francfort où sont stockés vos e-mails et vos fichiers.
• Protection. Les sauvegardes sont chiffrées sur notre serveur avant leur importation, au moyen d’un chiffrement à clé publique. La clé privée nécessaire à leur déchiffrement est conservée uniquement hors ligne, jamais sur nos serveurs.
• Durée de conservation. 30 jours, selon un cycle glissant. Cela signifie également que les données que vous supprimez peuvent rester dans les sauvegardes jusqu’à leur suppression au fil de la rotation.
• Restaurations. Nous disposons d’une procédure documentée pour reconstruire le serveur et restaurer les bases de données à partir des sauvegardes.

Les sauvegardes servent uniquement à assurer la reprise après sinistre. Si nous devons en restaurer une, nous supprimons à nouveau toutes les données qui avaient déjà été supprimées.

Nous disposons d’une procédure écrite pour les incidents de sécurité et suivons les étapes suivantes :

1. 1
   Détection
   Au moyen de la surveillance et des alertes automatisées, des signalements des utilisateurs et des chercheurs en sécurité, ainsi que des notifications de nos fournisseurs.
2. 2
   Confinement
   Isoler les systèmes touchés, révoquer les identifiants d’accès et les clés exposés, bloquer le trafic malveillant et suspendre les comptes utilisés à des fins abusives.
3. 3
   Évaluation
   Déterminer ce qui s’est passé, quelles données et quelles personnes sont concernées et quelle est la gravité du risque, tout en préservant les éléments de preuve.
4. 4
   Notification
   Lorsqu’une violation de données à caractère personnel doit être notifiée en vertu du RGPD, nous la notifions à l’autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance et en informons les personnes concernées dans les meilleurs délais lorsque le risque pour elles est élevé. Les clients du forfait Business sont informés, en notre qualité de sous-traitant, dans les meilleurs délais et sous 72 heures, conformément à notre Accord sur le traitement des données. Les interruptions du Service sont publiées sur notre page d’état.
5. 5
   Rétablissement et enseignements
   Rétablir le Service à partir de sources saines, puis examiner l’incident afin d’en déterminer la cause profonde et d’améliorer nos mesures pour éviter qu’il ne se reproduise.

• Système d’exploitation. Les mises à jour de sécurité sont installées automatiquement.
• Logiciels que nous exploitons. Nos conteneurs exécutent des versions précisément définies de leurs logiciels, notamment le serveur de messagerie Stalwart, PostgreSQL et le serveur Web. Nous suivons leurs publications de sécurité et effectuons rapidement les mises à jour, après avoir lu les notes de version et réalisé une sauvegarde.
• Dépendances. Nous surveillons les dépendances de notre application et les maintenons à jour.
• Signalements externes. Nous accueillons les signalements des chercheurs en sécurité et corrigeons les problèmes confirmés dans les délais cibles correspondant à leur niveau de gravité (voir Divulgation responsable).

• Révision. Les modifications sont examinées avant leur déploiement, et les déploiements sont automatisés par des scripts et reproductibles.
• Protections intégrées. Code à typage strict, validation des entrées, protection contre la falsification de requêtes intersites, limitation du débit et en-têtes de sécurité sur chaque réponse, notamment HSTS, interdiction de mise en cadre et protection contre la détection du type de contenu.
• Environnements distincts. L’environnement de développement utilise des substituts locaux pour le stockage et les bases de données, avec des données de démonstration fictives. Les données de production ne sont jamais utilisées pour le développement ou les tests, et les secrets de production ne quittent jamais l’environnement de production.
• Empreinte minimale. Aucun code tiers d’analyse d’audience ou de publicité ne s’exécute sur notre site Web ou dans notre application, et nous désactivons autant que possible la télémétrie des bibliothèques tierces.

Nous limitons le nombre de sociétés qui traitent vos données. Nous les sélectionnons en fonction de la localisation de leurs données dans l’UE, de leurs pratiques de sécurité et des attestations de sécurité qu’elles publient, et concluons avec chacune un accord sur le traitement des données. Nous les réévaluons périodiquement.

La liste complète, précisant le rôle de chaque société, le lieu de traitement et les garanties applicables, figure sur notre page consacrée aux sous-traitants ultérieurs. Nous annonçons tout nouveau sous-traitant ultérieur au moins 30 jours avant qu’il ne commence à traiter les données des clients. Pour recevoir ces annonces par e-mail, écrivez à privacy@exitomail.com avec pour objet « Subprocessor updates ».

Nous expliquons en toute transparence comment ExitoMail est conçu. L’application s’exécute actuellement sur un seul serveur principal dans un centre de données situé dans l’UE. Le contenu de vos e-mails et fichiers est conservé séparément dans un stockage d’objets doté d’une redondance gérée par le fournisseur, et des sauvegardes chiffrées de toutes les autres données sont conservées dans une deuxième région de l’UE.

• En cas de défaillance du serveur. Nous suivons une procédure documentée pour le reconstruire intégralement sur un nouveau matériel et restaurer les bases de données à partir de la sauvegarde la plus récente. Les sauvegardes étant effectuées chaque nuit, les modifications apportées depuis la dernière sauvegarde peuvent, dans le pire des cas, être perdues.
• Les e-mails entrants sont mis en attente pendant les interruptions. Lorsque notre serveur est inaccessible, les serveurs de messagerie expéditeurs placent les messages en file d’attente et tentent à nouveau de les distribuer, généralement pendant plusieurs jours, comme l’exigent les normes relatives aux e-mails.
• État du service. Les opérations de maintenance planifiées et les interruptions sont publiées sur notre page d’état.

Nous faisons tout notre possible pour maintenir ExitoMail disponible, mais nous ne garantissons aucun taux de disponibilité précis, sauf si nous avons conclu avec vous un accord de niveau de service écrit. Le forfait Gratuit ne comporte aucun accord de niveau de service.

Empêcher les spammeurs et les fraudeurs d’utiliser le service protège les e-mails de tous : cela préserve la réputation de nos serveurs afin que vos messages atteignent la boîte de réception.

• Limites d’envoi. Chaque compte est soumis à une limite d’envoi quotidienne (par exemple, 100 messages par jour avec le forfait Gratuit). Les limites sont initialement plus basses pour les nouveaux comptes, puis augmentent selon l’ancienneté et le niveau de confiance du compte.
• Contrôles à l’inscription. Le nombre d’inscriptions par adresse IP est limité, les adresses de récupération temporaires sont refusées et un contrôle antibot Cloudflare Turnstile s’exécute sur le formulaire d’inscription.
• Application automatisée des règles. Notre système automatisé d’application des règles surveille les plaintes pour spam, les rejets, les inscriptions sur des listes de blocage, les résultats d’analyses antimalware, les signes de compromission de comptes et les signalements. Il peut limiter ou suspendre les envois, suspendre des comptes ou des domaines, bloquer des transferts, mettre des fichiers en quarantaine et bloquer les adresses IP à l’origine d’attaques. Ses mesures sont réversibles, les utilisateurs sont informés de leur motif et chaque recours est examiné par une personne (voir la Politique d’utilisation acceptable).
• Aucun relais ouvert. L’envoi nécessite toujours une authentification et vous ne pouvez envoyer des messages qu’à partir d’adresses et de domaines associés à votre compte.
• Filtrage. Les e-mails entrants sont soumis à un contrôle antispam sur notre propre infrastructure et peuvent être analysés afin de détecter les logiciels malveillants. Pour ce faire, nos serveurs peuvent rechercher l’adresse IP ou le domaine du serveur expéditeur dans des listes de blocage DNS publiques.
• Domaines validés. Un domaine personnalisé ne commence à recevoir ou à envoyer des e-mails qu’une fois que vous avez prouvé en être propriétaire au moyen d’un enregistrement DNS TXT. Personne ne peut donc revendiquer un domaine qui ne lui appartient pas.
• Exito Transfer. Nous pouvons analyser les fichiers importés afin de détecter les logiciels malveillants et bloquer les fichiers signalés. Les liens expirent toujours et les destinataires peuvent signaler un transfert en un clic.

Pour signaler du spam, une tentative d’hameçonnage ou tout autre abus impliquant ExitoMail, écrivez à abuse@exitomail.com. Pour signaler un contenu illicite au titre du règlement européen sur les services numériques, utilisez notre procédure de notification et d’action. Nos règles figurent dans la Politique d’utilisation acceptable.

• RGPD. En tant que société américaine proposant le Service dans l’UE, nous sommes soumis au RGPD (article 3, paragraphe 2). Nous sommes responsables du traitement pour les comptes personnels et pour les données dont nous avons besoin afin d’exercer notre activité, comme décrit dans notre Politique de confidentialité. Pour les clients professionnels, nous agissons en qualité de sous-traitant conformément à notre Accord sur le traitement des données, et les sociétés qui nous assistent sont répertoriées sur notre page consacrée aux sous-traitants ultérieurs.
• Règlement sur les services numériques. En tant que service d’hébergement, nous appliquons une procédure de notification et d’action pour les contenus illicites, motivons nos décisions et proposons une voie de recours. Voir Notification et action.
• ePrivacy. Nous utilisons uniquement des cookies et des mécanismes de stockage strictement nécessaires. Consultez notre Politique relative aux cookies.
• Protection des enfants. En tant que fournisseur américain, nous signalons au NCMEC les contenus qui semblent représenter des abus sexuels sur des enfants, comme l’exige la disposition 18 U.S.C. § 2258A.
• ISO/IEC 27001:2022 et ISO/IEC 27701. Notre programme de sécurité est conçu sur le modèle de ces normes. Nous ne revendiquons aucune certification.

Si vous pensez avoir découvert une vulnérabilité de sécurité dans ExitoMail, veuillez nous en informer. Nous collaborerons avec vous afin de la comprendre et de la corriger, et n’engagerons aucune poursuite judiciaire à l’encontre des recherches menées de bonne foi dans le respect de la présente politique.

Comment effectuer un signalement

Envoyez un e-mail à security@exitomail.com. Veuillez inclure les éléments suivants :

• une description de la vulnérabilité et l’URL, l’hôte ou le composant concerné ;
• des instructions détaillées pour la reproduire et, si vous en disposez, une démonstration de faisabilité (des captures d’écran ou une courte vidéo sont utiles) ;
• l’impact qu’elle pourrait avoir selon vous et la manière dont un attaquant pourrait l’exploiter ; et
• un moyen de vous contacter et si vous souhaitez que votre contribution soit mentionnée.

Si votre signalement contient des informations sensibles, demandez-nous d’abord un canal sécurisé. N’envoyez pas en pièce jointe de logiciel malveillant ni de code d’exploitation s’exécutant automatiquement.

Cette adresse est réservée aux vulnérabilités de sécurité. Pour signaler du spam ou de l’hameçonnage, écrivez à abuse@exitomail.com ; pour obtenir de l’aide concernant votre compte, écrivez à support@exitomail.com.

Périmètre

Dans le périmètre :

• exitomail.com et tous ses sous-domaines, notamment mail.exitomail.com (SMTP, IMAP, JMAP, configuration automatique et MTA-STS) ;
• l’application Web : messagerie Web, Exito Vault (y compris les liens de partage), Exito Transfer (y compris les pages de téléchargement et les liens « Demander des fichiers »), paramètres du compte, ainsi que gestion des équipes et des adresses pour les domaines personnalisés ;
• nos API et les parcours d’inscription, de connexion, d’authentification à deux facteurs et de récupération du compte ; et
• notre gestion des domaines personnalisés, par exemple leur validation. Les domaines et sites Web appartenant aux clients sont exclus du périmètre.

Hors périmètre :

• les attaques par déni de service, les tests de charge et tout test volumétrique ;
• l’ingénierie sociale ou l’hameçonnage visant notre personnel ou nos utilisateurs, ainsi que les attaques physiques contre des bureaux ou des centres de données ;
• l’envoi de spam ou les attaques par force brute contre les mots de passe, sans démonstration d’une vulnérabilité sous-jacente ;
• l’absence d’en-têtes ou de paramètres conformes aux bonnes pratiques, par exemple un en-tête de sécurité manquant, sans incidence démontrée ;
• le self-XSS et les problèmes nécessitant un appareil ou un compte déjà compromis ;
• les services tiers eux-mêmes, tels que Cloudflare, Stripe ou Wasabi (veuillez les signaler au fournisseur concerné) ; et
• les résultats d’outils d’analyse automatisés sans preuve de concept fonctionnelle.

Règles à respecter

• Utilisez vos propres comptes. Effectuez vos tests uniquement avec des comptes que vous avez vous-même créés. N’interagissez pas avec les comptes ou les données d’autres utilisateurs sans leur autorisation.
• Arrêtez-vous si vous accédez aux données d’autrui. Si vous accédez aux données d’une autre personne, arrêtez-vous, ne les conservez pas, ne les utilisez pas, ne les partagez pas et signalez-les-nous immédiatement.
• Preuve minimale. Ne copiez ni n’exfiltrez plus de données que le strict minimum nécessaire pour démontrer le problème.
• Ne causez aucun dommage. Ne perturbez pas le Service, ne supprimez ni ne modifiez des données qui ne vous appartiennent pas et n’envoyez pas d’e-mails à des personnes qui n’ont pas accepté de les recevoir. Respectez les limites d’envoi de votre compte.
• Laissez-nous le temps d’agir. Gardez les détails confidentiels jusqu’à la publication d’un correctif ou jusqu’à l’expiration d’un délai de 90 jours après votre signalement, selon la première éventualité. Si le correctif nécessite plus de temps, nous vous en expliquerons la raison et conviendrons avec vous d’une nouvelle date.

Protection juridique

Si vous vous efforcez de bonne foi de respecter la présente politique, nous considérerons vos recherches comme autorisées, nous n’engagerons ni ne soutiendrons aucune action en justice contre vous en raison de ces recherches et nous ne vous signalerons pas aux forces de l’ordre. Nous levons les restrictions prévues dans nos Conditions d’utilisation et notre Politique d’utilisation acceptable dans la mesure nécessaire aux recherches menées conformément à la présente politique. Si un tiers engage une action en justice contre vous en raison de recherches menées conformément à la présente politique, nous indiquerons que vous l’avez respectée.

Cette protection juridique couvre uniquement nos systèmes ; nous ne pouvons pas autoriser les tests portant sur les services d’autres entreprises. En cas de doute sur ce qui est autorisé, contactez-nous d’abord à l’adresse security@exitomail.com.

Nos engagements

Remerciements

Nous ne proposons actuellement aucun programme rémunéré de primes aux bogues. Avec votre autorisation, nous serons heureux de vous remercier publiquement pour tout signalement valide une fois le problème corrigé.

security.txt

Notre fichier security.txt (s’ouvre dans un nouvel onglet), situé à l’adresse /.well-known/security.txt (RFC 9116), indique notre contact de sécurité et contient un lien vers la présente politique.