Modèle de sécurité

Le fournisseur d’identité

AarView s’installe avec son fournisseur d’identité (Authentik), configuré par l’installateur.

• Le portail ne détient jamais le jeton d’administration du fournisseur d’identité. Il utilise un compte d’annuaire limité, qui peut :
  • lire les utilisateurs et les groupes ;
  • créer des utilisateurs, et modifier seulement ceux qu’il a créés ;
  • gérer l’appartenance aux groupes de rôles d’AarView.
• Ce compte ne peut pas créer ni modifier un groupe, toucher un administrateur, ni lire la configuration du fournisseur d’identité.
• L’installateur vérifie ces droits à la fin de l’installation et s’arrête s’ils ne correspondent pas. Un script de contrôle le prouve sur une installation en service (28 contrôles).
• Le client d’un compte est un attribut de ce compte, pas un groupe.

Les comptes

• Double authentification obligatoire pour tous (application TOTP), dès la première connexion.
• Verrouillage : 5 échecs de connexion verrouillent un compte pendant AARVIEW_LOCKOUT_SECONDS (900 secondes par défaut).
• Mots de passe de 12 caractères au moins, refusés s’ils sont faciles à deviner.
• Liens de définition du mot de passe : un lien ne modifie que le compte pour lequel il a été émis.
• Connexion récente exigée pour les actions sensibles (comptes, licence, accès machine, sources, clients, offres, export d’audit) : moins de 10 minutes.
• La connexion vérifie PKCE et un paramètre state contre la falsification de requête.

Les sessions

• Fermée après 30 minutes d’inactivité. Seule l’utilisation réelle compte (navigation, clavier, souris) ; un bandeau prévient cinq minutes avant.
• Durée maximale de 8 heures après la connexion, quelle que soit l’activité.
• Se déconnecter révoque les jetons de la session auprès du fournisseur d’identité, que la fin vienne de l’utilisateur, de l’inactivité ou de la durée maximale.
• Les pages connectées ne sont pas mises en cache par le navigateur, et les jetons ne sont pas exposés aux scripts de la page.

Les données

• Le rôle applicatif de la base de données est soumis au cloisonnement par ligne (row-level security) : une session ne voit que les lignes de son client, et une session sans client n’en voit aucune.
• Le client d’une alerte reçue n’est jamais lu dans son contenu : il vient de l’accès ou de la source qui l’envoie.
• Les secrets des sources connectées et des webhooks sont stockés chiffrés.
• Les secrets d’accès machine ne sont conservés que sous forme d’empreinte.
• Les actions sont écrites dans un journal d’audit.

Le réseau

• Un seul port publié : 443.
• Seul AARVIEW_DOMAIN est servi (SNI strict), en TLS 1.2 ou plus avec des suites à confidentialité persistante, HSTS et les en-têtes de sécurité usuels.
• Le TLS vers vos moteurs est vérifié.
• Les flux sortants vers des sources publiques ne transportent aucune donnée vous concernant, et se coupent : voir Prérequis.

La licence

La licence est vérifiée sur chaque route utilisateur. La réception des alertes, elle, n’est jamais bloquée par la licence. Voir Licence.