Comment Transglot est sécurisé.
délimité.
Comment Transglot est sécurisé.
Chiffrement, contrôle d’accès, isolation des locataires et piste d’audit, chacun nommant le mécanisme qui l’applique. Les éléments que nous n’avons pas construits sont indiqués ici comme des lacunes.
- tls 1.2 ou mieux en transit
- webhooks signés hmac
- lignes d’audit en ajout seulement
- quatre rôles, cinq capacités de jeton
Chiffrement, accès, isolation et audit.
Chiffré avant de quitter l’hôte
Les sauvegardes de base de données sont chiffrées lors de leur exportation. Le dépôt de sauvegarde de fichiers est chiffré par mot de passe et refuse de s’exécuter sans sa clé. Les identifiants des applications connectées et les secrets de webhook sont stockés sous forme de colonnes chiffrées. Les jetons de déploiement sont stockés sous forme de hachage SHA-256 et affichés une seule fois, à la création. Les disques actifs ne sont pas chiffrés au niveau du volume, car nous n’avons pas développé cette fonctionnalité, et vous devriez l’apprendre ici plutôt que lors d’une diligence raisonnable.
Signé lors de l’exportation
Les webhooks sortants sont signés avec HMAC-SHA256 sur l’horodatage et le corps. L’horodatage est également envoyé, afin que vous puissiez appliquer votre propre fenêtre de rejeu.
Identité et accès
Quatre rôles d’espace de travail pour chaque forfait, y compris Gratuit : administrateur, développeur, réviseur et traducteur, ainsi que les propriétaires de compte et les membres de la facturation. Les autorisations par projet et par langue s’ajoutent à cela, de sorte qu’un pigiste peut recevoir une langue et ne rien voir d’autre. La connexion SAML 2.0 avec approvisionnement juste-à-temps et l’approvisionnement SCIM 2.0 sont inclus dans l’offre Entreprise, et la connexion par mot de passe peut être désactivée pour l’ensemble de l’espace de travail.
Isolation des locataires
Chaque requête est limitée à votre organisation et à votre projet. Un identifiant appartenant à quelqu’un d’autre renvoie une erreur 404 plutôt qu’une 403, de sorte que l’existence d’un autre espace de travail ne fuit jamais. Le pool de mémoire partagé à correspondance exacte est la seule exception délibérée, et tout projet peut le quitter via un commutateur.
La piste d’audit
Les changements de rôle, la création de jetons, les modifications de facturation, la configuration SSO et les connexions SSO sont enregistrés, et les lignes ne peuvent pas être modifiées ou supprimées : le modèle lance une exception dans les deux cas. Les connexions par mot de passe ne figurent pas dans la piste d’audit aujourd’hui. Les propriétaires et administrateurs sur l’offre Entreprise exportent l’intégralité de la piste d’audit en CSV. Il n’y a ni chaîne de hachage ni signature cryptographique, donc rien ici n’indique une protection contre la falsification.
Disponibilité et crédits
Nous ne publions aucun pourcentage ici, car tout chiffre que nous indiquerions ne serait que notre parole concernant notre propre disponibilité. Les offres Business et Enterprise comportent un objectif contractuel de disponibilité mensuelle avec un calendrier de crédits de service, et ce calendrier constitue le SLA.
Où en est réellement la conformité
Les mêmes quatre lignes que la page de confiance et le centre de confiance lisent, à partir de la même configuration. Un tampon ne peut dire « détenu » que si un booléen l’indique, et aujourd’hui, aucun d’eux ne le fait.
- SOC 2 Type II: audit en cours
- ISO/IEC 42001 (AI management): en cours d’obtention
- GDPR: conforme, non certifié
- CCPA / CPRA: conforme, non certifié
Ce que demande un réviseur, répondu en premier.
Les questions par lesquelles commence un examen de sécurité, et les réponses, dans l’ordre où elles arrivent habituellement. Chaque ligne est un contrôle dans le codebase plutôt qu’une affirmation à son sujet. La dernière ligne est une lacune, et elle reste ici jusqu’à ce qu’elle cesse d’être vraie.
- aucune constatation citée, car il n’y a pas encore de rapport tiers
- aucune certification implicite : le tableau de conformité sur /trust lit à partir de la configuration
- la recherche de bonne foi ne rencontre jamais d’avocats
FAQ
La liste qui accompagne habituellement une revue de sécurité.
