Sécurité et étanchéité
Version V0.12 — 24 octobre 2026
Sur un chantier, le maître d'ouvrage, le maître d'œuvre, les entreprises et leurs sous-traitants travaillent sur la même affaire sans avoir à voir les mêmes pièces. Une entreprise ne doit jamais lire le marché d'une concurrente. Un logiciel qui réunit ces parties doit donc répondre à une question précise : qui voit quoi, et comment le prouvez-vous ?
Trois niveaux de cloisonnement
Entre abonnés
Les données d'un cabinet ne sont jamais atteignables depuis la session d'un autre cabinet, y compris au moyen d'un identifiant d'objet parfaitement valide. C'est la défense contre les références directes non sécurisées, première cause de fuite dans les logiciels en ligne.
Entre projets
Un collaborateur n'accède qu'aux affaires pour lesquelles il est habilité. Deux projets peuvent porter des numéros de pièces identiques sans qu'un identifiant ne résolve jamais vers le mauvais dossier.
Entre parties
Une entreprise ne voit que ses propres marchés, décomptes et pièces de vigilance. L'espace maître d'ouvrage / maître d'œuvre, les litiges, les réclamations et les honoraires ne lui sont jamais exposés.
La matrice d'habilitation
Les règles ne sont pas dispersées dans l'application : elles sont regroupées en un point de passage unique, ce qui permet de les lire, de les vérifier et de les tester. Chaque collection de données est classée, et chaque rôle se voit attribuer un droit de lecture et un droit d'écriture.
| Catégorie de données | Maître d'œuvre | Maître d'ouvrage | Entreprise | Sous-traitant | Coordonnateur SPS |
|---|---|---|---|---|---|
| Vie du chantier : réserves, comptes rendus, planning, déchets, PPSPS | Lecture et écriture | Lecture | Lecture | Lecture | Lecture |
| Pièces propres à une entreprise : marché, décompte, vigilance | Lecture et écriture | Lecture | Les siennes seulement | Les siennes seulement | Lecture |
| Espace privé maître d'ouvrage / maître d'œuvre | Lecture et écriture | Lecture et écriture | Aucun accès | Aucun accès | Aucun accès |
| Litiges, réclamations, honoraires de maîtrise d'œuvre | Lecture et écriture | Aucun accès | Aucun accès | Aucun accès | Aucun accès |
Principe de refus par défaut : une catégorie de données non explicitement classée est fermée, jamais ouverte.
Comment nous le vérifions
La matrice est couverte par une campagne de tests automatisés composée majoritairement de tests négatifs : on se place dans la peau d'une session qui ne devrait pas avoir accès, on lui fournit des identifiants valides appartenant à autrui, et on exige un refus. Sont notamment éprouvés :
- une session dont l'habilitation déclare les projets d'un autre abonné ;
- une entreprise qui demande une pièce d'une entreprise concurrente du même chantier ;
- un identifiant de pièce identique entre deux projets ;
- une entreprise sans périmètre déclaré, qui doit être refusée par défaut ;
- une catégorie de données inconnue, qui doit être fermée et non ouverte.
Les tests sont eux-mêmes éprouvés par mutation : nous désactivons volontairement chacun des contrôles et vérifions que la campagne échoue. Un test qui continue de passer alors que la protection a été retirée ne prouve rien — c'est la raison pour laquelle nous avons remplacé notre précédente campagne.
Fonctionnement hors ligne
Le cache du mode hors connexion est strictement limité aux fichiers de l'application. Les réponses contenant des données de projet ne sont jamais conservées dans ce cache, qui serait partagé par tous les comptes utilisant le même navigateur. Le cache est purgé à la déconnexion et au changement de compte.
Ce que nous ne prétendons pas
Nous préférons une limite annoncée à une garantie invérifiable.
- Les vérifications décrites portent sur la règle d'habilitation. Elles ne remplacent pas un test d'intrusion conduit par un tiers indépendant, qui sera réalisé avant la mise en service de l'interface de programmation.
- Un contrôle effectué dans le navigateur n'est qu'une commodité d'affichage : la règle est réappliquée côté serveur à chaque lecture et à chaque écriture, car un filtre côté client est contournable par construction.
- Les versions de démonstration fonctionnent sur des données fictives stockées dans le navigateur : elles illustrent le parcours, elles ne démontrent pas la sécurité du service.
Signaler une faille
Si vous pensez avoir identifié une faille, écrivez à contact@promaceo.fr avec la mention « sécurité » en objet. Nous accusons réception sous quarante-huit heures. Nous vous demandons de ne pas exploiter la faille, de ne pas accéder à des données qui ne sont pas les vôtres et de ne pas la divulguer avant correction. Les tests d'intrusion non autorisés par écrit restent interdits par les conditions d'utilisation.