/securityles contrôles, un par un

isolé.

chaque requête de base de données est isolée selon votre organisation et votre projet

Chiffrement, contrôle d'accès, isolation des locataires et journal d'audit : chaque élément nomme le mécanisme qui l'impose. Les fonctionnalités que nous n'avons pas encore construites sont listées ici comme des lacunes.

TLS 1.2 ou supérieur en transit
webhooks signés HMAC
lignes d'audit en ajout seul
quatre rôles, cinq capacités de jeton

les contrôles

Chiffrement, accès, isolation et audit.

chaque tuile nomme le mécanisme qui la rend possible, et la tuile qui identifie une lacune est la plus utile de la page

AES-256

Chiffré avant de quitter l'hôte

Les sauvegardes de base de données sont chiffrées lors de l'export. Le dépôt de sauvegarde de fichiers est chiffré par mot de passe et refuse de s'exécuter sans sa clé. Les identifiants des applications connectées et les secrets des webhooks sont stockés dans des colonnes chiffrées. Les jetons de déploiement sont stockés sous forme de hachage SHA-256 et affichés une seule fois, à leur création. Les disques actifs ne sont pas chiffrés au niveau du volume, car nous n'avons pas encore développé cette fonctionnalité, et il vaut mieux que vous le sachiez ici plutôt que lors d'une due diligence.

Signé lors de l'envoi

Les webhooks sortants sont signés avec HMAC-SHA256 sur l'horodatage et le corps du message. L'horodatage est également envoyé, afin que vous puissiez appliquer votre propre fenêtre de prévention contre la relecture.

POST /hooks/translations

X-Transglot-Timestamp: 1756...

X-Transglot-Signature: hmac-sha256

signed over (timestamp, body)

compared with hash_equals

Identité et accès

Quatre rôles d’espace de travail pour chaque formule, y compris l’offre gratuite : administrateur, développeur, relecteur et traducteur, ainsi que les propriétaires de compte et les membres facturés. Les autorisations par projet et par langue s’y ajoutent, de sorte qu’un freelance peut se voir attribuer une seule langue sans accès au reste. La connexion SAML 2.0 avec approvisionnement juste-à-temps et l’approvisionnement SCIM 2.0 sont inclus dans l’offre Enterprise, et la connexion par mot de passe peut être désactivée pour l’ensemble de l’espace de travail.

Isolation des locataires

Chaque requête est isolée selon votre organisation et votre projet. Un identifiant appartenant à quelqu'un d'autre renvoie une erreur 404 plutôt qu'une 403, afin que l'existence d'un autre espace de travail ne soit jamais divulguée. Le pool de mémoire partagée par correspondance exacte constitue la seule exception délibérée, et tout projet peut le quitter via un interrupteur.

Le journal d'audit

Les modifications de rôles, la création de jetons, les changements de facturation, la configuration SSO et les connexions SSO sont enregistrées. Ces entrées ne peuvent ni être modifiées ni supprimées : le modèle rejette ces deux actions. Les connexions par mot de passe n’apparaissent pas dans le journal pour l’instant. Les propriétaires et administrateurs des plans Enterprise peuvent exporter l’intégralité du journal au format CSV. Il n’y a ni chaîne de hachage ni signature cryptographique ; rien ici ne garantit une preuve d’altération.

Disponibilité et crédits

Nous ne publions aucun pourcentage ici, car tout chiffre que nous indiquerions ne serait que notre propre estimation de disponibilité. Les offres Business et Enterprise incluent un objectif contractuel de disponibilité mensuelle avec un barème de crédits de service, qui constitue le SLA.

Où en est réellement la conformité

Les mêmes quatre lignes que celles de la page de confiance et du centre de confiance, issues de la même configuration. Un label ne peut indiquer « obtenu » que si un booléen le confirme, et aujourd'hui, aucun ne le fait.

SOC 2 Type II: audit en cours
ISO/IEC 42001 (AI management): en cours d'obtention
GDPR: aligné, non certifié
CCPA / CPRA: aligné, non certifié

les réponses courtes

Ce que demande un auditeur, répondu en premier.

Les questions par lesquelles débute un audit de sécurité, et les réponses, dans l’ordre habituel. Chaque ligne correspond à un contrôle présent dans le code plutôt qu’à une simple affirmation. La dernière ligne indique une lacune, et elle restera affichée jusqu’à ce qu’elle ne soit plus vraie.

aucune constatation citée, car il n’y a pas encore de rapport tiers
aucune certification implicite : le tableau de conformité sur /trust est généré depuis la configuration
la recherche de bonne foi ne rencontre jamais d’avocats

Envoyer un e-mail à security@transglot.ai Le centre de confiance

sortie illustrative. cette page n’exécute aucune analyse, ni sur vous ni sur nous

notes de posture, à titre illustratif

# ce qu’une revue de sécurité demande en premier

tls 1.2 ou supérieur, refusé en dessous au niveau du edge

webhooks hmac-sha256 sur l’horodatage et le corps

tokens stockés sous forme de hachage sha-256, affichés une seule fois

tenancy chaque requête limitée par organisation et projet

abilities cinq sur un jeton de projet, trois sur le déploiement

roles quatre, sur tous les plans y compris gratuit

audit ajout seul au niveau du modèle, sans chaîne

memory un pool partagé de correspondances exactes, désactivé par projet

at rest les volumes actifs ne sont pas chiffrés sur disque. les sauvegardes sont en aes-256.

FAQ

Les questions qui reviennent systématiquement lors d’un audit de sécurité.

Mes données sont-elles chiffrées ?

En transit, oui : TLS 1.2 ou version supérieure ; les versions antérieures sont refusées à la périphérie. Au repos, les sauvegardes de base de données sont chiffrées avec AES-256 lors de l’export et le dépôt de sauvegarde de fichiers est protégé par mot de passe. Les volumes de la base de données active ne sont pas chiffrés au niveau du disque pour le moment.

Êtes-vous certifié SOC 2 ?

Pas encore. Un audit SOC 2 Type II est en cours : phase de préparation d’abord, puis période d’observation. Nous ne détenons actuellement aucune certification de sécurité tierce, et les badges ci-dessus dépendent d’un paramètre de configuration qui ne peut indiquer « obtenu » tant qu’une certification n’est pas effective.

Entraînez-vous des modèles d'IA sur mon contenu ?

Non, quel que soit le forfait. Vos chaînes de caractères sont envoyées aux fournisseurs indiqués dans le centre de confiance uniquement à des fins de traduction, selon des conditions commerciales strictes. La facturation relève le nombre de jetons, jamais le texte lui-même.

Comment empêchez-vous un client d’accéder aux données d’un autre ?

Chaque requête est limitée à votre organisation et à votre projet ; un identifiant qui ne vous appartient pas renvoie une erreur 404 plutôt qu’une 403, afin que l’existence d’un autre espace de travail ne soit jamais révélée. Le pool partagé de mémoire de traduction par correspondance exacte constitue la seule exception délibérée : il n’a aucun propriétaire et tout projet peut s’en désengager via un simple interrupteur.

Prenez-vous en charge SAML SSO, SCIM et la connexion obligatoire ?

Oui, sur l’offre Enterprise : SAML 2.0 avec approvisionnement juste-à-temps, approvisionnement SCIM 2.0 et possibilité de désactiver la connexion par mot de passe pour l’ensemble de l’espace de travail. Quatre rôles d’espace de travail ainsi que des autorisations par projet et par langue sont disponibles sur toutes les formules, y compris l’offre gratuite.

Tenez-vous un journal d’audit et puis-je l’exporter ?

Les changements de rôle, la création de jetons, les modifications de facturation, la configuration SSO et les connexions SSO sont tous enregistrés, et ces entrées ne peuvent ni être modifiées ni supprimées. Les connexions par mot de passe ne figurent pas encore dans le journal. Les propriétaires et administrateurs sur l’offre Enterprise peuvent exporter l’intégralité du journal au format CSV. Il n’y a ni chaîne de hachage ni signature numérique, nous ne qualifions donc pas ce journal de « infalsifiable ».

Avez-vous réalisé un test d’intrusion ?

Nous n’avons aucun rapport tiers à citer. Lorsqu’il existera, il sera mentionné ici avec sa date et son périmètre, plutôt que résumé par un nombre de vulnérabilités trouvées.

Comment signaler une vulnérabilité et proposez-vous une prime ?

Écrivez à security@transglot.ai. Les recherches menées de bonne foi conformément à la politique publiée bénéficient d’une clause de non-poursuite écrite, d’un accusé de réception sous trois jours ouvrés et d’une évaluation initiale sous dix jours ouvrés. Il n’y a pas de programme de prime rémunéré pour le moment.

Comment les jetons API sont-ils stockés et limités ?

Un jeton de projet est stocké sous forme de hachage SHA-256 et n’est affiché qu’une seule fois, lors de sa création. Les jetons de projet disposent de cinq capacités et les jetons de déploiement de trois, de sorte qu’un jeton transmis à un système d’intégration continue (CI) peut avoir des permissions plus restreintes que celles de la personne qui l’a créé. Les jetons sont une fonctionnalité des forfaits payants : l’offre gratuite ne permet pas d’en générer.