Sécurité
Pour les données des clients Wi-Fi et les journaux 5651, nous disons clairement ce que nous protégeons et comment.
Chaque point de cette page repose sur un contrôle qui fonctionne dans le produit. Nous indiquons aussi ce que nous n'avons pas encore fait.
Contrôles
Les mesures de sécurité en place aujourd'hui
Pas des promesses marketing : un résumé des contrôles réellement mis en œuvre.
Connexions chiffrées (HTTPS)
Le panneau, l'API et les pages de connexion des invités hébergées par Hotspotly sont servis uniquement en HTTPS ; HSTS indique aux navigateurs de ne jamais utiliser HTTP en clair. La redirection de connexion locale du routeur dépend de ses propres réglages.
Secrets chiffrés dans la base de données
Les mots de passe des routeurs, les clés d'intégration, les secrets 2FA et les numéros d'identité turcs ou de passeport sont stockés chiffrés en AES-256-GCM dans la base de l'application. Les clés ne se trouvent ni dans la base ni dans les sauvegardes.
Mots de passe du panneau irréversibles
Les mots de passe des comptes du panneau sont stockés sous forme de hachage bcrypt ; aucun mot de passe du panneau n'est conservé en clair.
Authentification à deux facteurs
L'authentification à deux facteurs par application (TOTP) est obligatoire par défaut pour les comptes administrateur, revendeur et client (membres d'équipe compris) ; seul l'administrateur de la plateforme peut en exempter une entreprise, avec un motif enregistré. Les codes de récupération sont à usage unique.
Séparation des données clients
Chaque enregistrement appartient à un seul client ; les points d'accès du panneau vérifient l'accès selon le rôle et le client. Un client ne peut pas voir les équipements, invités ou journaux d'un autre client.
Journal d'audit
Les connexions, les tentatives échouées, les changements de mot de passe et de 2FA, les révocations de session ainsi que chaque consultation et export des journaux 5651 sont inscrits au journal d'audit.
Journaux 5651 protégés contre la falsification
Les journaux d'accès sont scellés chaque nuit avec des empreintes SHA-256, un manifeste chaîné et un arbre de Merkle ; toute modification après scellement apparaît lors de la vérification.
Consentements et acceptations non modifiables
Les consentements des invités et les acceptations de contrats sont en ajout seul : l'application ne les modifie ni ne les supprime ; un retrait de consentement est enregistré comme une nouvelle entrée.
Sauvegardes quotidiennes et script de restauration
Les bases de données sont sauvegardées automatiquement chaque jour et les 14 dernières sauvegardes sont conservées. Un script d'exercice, prévu pour des tests réguliers, restaure sans toucher la base de production et vérifie le schéma, le nombre de lignes et les sceaux 5651.
Sous-traitants
Les tiers qui traitent des données
Les prestataires avec lesquels nous fournissons le service. Certains n'interviennent que si vous activez la fonctionnalité concernée.
| Prestataire | Finalité | Portée |
|---|---|---|
| Hébergeur | Serveurs, bases de données et sauvegardes. Le nom de l'hébergeur et l'emplacement du centre de données seront publiés ici une fois confirmés. | Tous les clients |
| Cloudflare, Inc. | DNS, terminaison TLS et protection contre les attaques : le trafic du panneau et de l'API passe par ce réseau. | Tous les clients |
| iyzico (İyzi Ödeme ve Elektronik Para Hizmetleri A.Ş.) | Paiements des abonnements et des crédits ; les données de carte n'atteignent jamais les serveurs Hotspotly. | Tous les clients |
| TÜBİTAK BİLGEM Kamu SM | Horodatages RFC 3161 pour les sceaux 5651 quotidiens ; actifs dès l'activation de l'abonnement. Ne reçoit aucune donnée personnelle ; seule une empreinte quotidienne est envoyée. | Bientôt |
| NetGSM · İleti Merkezi · Mutlucell | Codes de vérification SMS des invités, envoyés via le fournisseur SMS de votre choix. | Si vous l'activez |
| Google · Meta (Facebook) | Connexion des invités avec un compte social ; uniquement sur les sites qui activent cette méthode. | Si vous l'activez |
| Mews · Cloudbeds | Vérification du numéro de chambre et du nom des clients d'hôtel ; uniquement pour les hôtels avec une intégration PMS. | Si vous l'activez |
| Meta Platforms (WhatsApp Business) | Vérification et notifications via WhatsApp ; ce canal n'est pas encore proposé. | Bientôt |
Un accord de traitement des données (DPA) est disponible sur demande. La liste à jour est toujours publiée sur cette page.
Divulgation responsable
Vous avez trouvé une vulnérabilité ?
Nous accueillons volontiers les signalements des chercheurs en sécurité. Merci de nous écrire avant toute divulgation publique.
- 1.Envoyez-nous par e-mail la vulnérabilité, l'adresse concernée et les étapes pour la reproduire.
- 2.Nous accusons réception au plus tard sous 5 jours ouvrés.
- 3.Nous vous tenons informé pendant la vérification et la correction ; nous visons à corriger les failles critiques et élevées sous 30 jours.
- 4.Une fois le correctif en production, nous vous remercions nommément si vous le souhaitez.
Dans le périmètre
Le site, le panneau et l'API sur hotspotly.net, les pages de connexion des invités (portail) et security.txt.
Hors périmètre
Les tentatives de déni de service, l'ingénierie sociale, l'accès physique, les équipements réseau de nos clients et les services tiers. N'accédez pas aux données réelles des invités ; si cela arrive, arrêtez-vous et prévenez-nous.
Engagement de bonne foi
Nous n'engagerons pas de poursuites pour des recherches menées de bonne foi dans le respect de ces règles. Nous n'avons pas de programme de bug bounty rémunéré pour le moment.
En cas de violation de données
Nous disposons d'un plan écrit de réponse aux incidents. En cas de violation de données personnelles, nous informons sans délai les clients concernés et préparons les informations nécessaires à la notification de l'autorité turque de protection des données dans les 72 heures suivant la prise de connaissance, comme l'exige la KVKK.
Ce que nous n'affirmons pas encore
- Nous ne disposons d'aucune certification ISO 27001 ou équivalente.
- Aucun test d'intrusion indépendant n'a encore été réalisé ; les documents de périmètre et de préparation sont prêts et un test externe annuel est prévu.
- Il n'existe pas de programme de bug bounty rémunéré.