Confiance et conformité

Le site et l’API fonctionnent sur Vercel ([Région d’hébergement, p. ex. Washington, D.C., États-Unis]). Les données sont stockées dans une base de données Neon Postgres ([Région de la base de données]) via une connexion chiffrée (TLS). Il n’existe aucune autre copie de vos données en dehors de ces prestataires et des sous-traitants ci-dessous.

Les analyses consultent aussi le domaine audité dans des sources publiques : l’Internet Archive (Wayback Machine), Common Crawl et Wikidata. Celles-ci ne reçoivent que l’adresse du site web. Nous n’utilisons aucun service d’analyse, de publicité ou de gestion de balises (tag manager).

Les délais de suppression automatique des audits et des messages ne sont pas encore en place. [Durées de conservation à définir.]

• HTTPS partout, avec HTTP Strict Transport Security (un an, sous-domaines inclus).
• En-têtes de sécurité sur chaque réponse : X-Frame-Options DENY, X-Content-Type-Options nosniff, une Referrer-Policy stricte et une Permissions-Policy qui désactive la caméra, le microphone et la localisation.
• Aucun mot de passe. La connexion passe par Google OAuth avec vérifications state et PKCE ; seules les adresses e-mail Google vérifiées sont acceptées.
• Les sessions utilisent des jetons aléatoires de 256 bits dans des cookies HttpOnly, SameSite=Lax et Secure ; la base de données ne stocke que leur empreinte SHA-256.
• Les clés API sont des valeurs aléatoires de 256 bits affichées une seule fois ; nous ne stockons que leur empreinte SHA-256. Elles ne voient que vos propres audits, sont soumises à des limites de fréquence, et vous pouvez les révoquer à tout moment dans les Paramètres.
• Liens de rapport impossibles à deviner (jetons de partage aléatoires de 144 bits) ; les audits lancés sans être connecté ne peuvent être enregistrés dans un compte que depuis le navigateur qui les a lancés.
• Vérifications de même origine (same-origin) sur les actions du compte telles que la déconnexion, l’enregistrement d’audits, la modification du résultat de vérifications, la modification de votre nom et la suppression de votre compte, et limites de fréquence sur les audits, la connexion, les formulaires et les autres points de terminaison publics.
• Récupération protégée contre la SSRF. Le robot résout chaque nom d’hôte et refuse les adresses privées, de bouclage (loopback), link-local et de métadonnées cloud, ne se connecte qu’à l’adresse qu’il a vérifiée, revérifie chaque redirection et n’autorise que les ports web standard.
• Score calculé uniquement côté serveur. Les vérifications KPI et le modèle de score s’exécutent sur nos serveurs ; le navigateur reçoit les résultats, pas la logique de calcul du score.
• Aucun secret dans le navigateur. Nos propres clés de service et identifiants se trouvent uniquement dans les variables d’environnement du serveur.
• Données personnelles minimales. Les adresses IP du formulaire de contact ne sont stockées que sous forme d’empreinte à sens unique ; les identifiants trouvés dans le code public d’un site analysé ne sont conservés que sous forme masquée.

• Pages publiques uniquement. Nous récupérons les pages accessibles à tous sans connexion. Nous n’envoyons que des requêtes GET et HEAD, ne soumettons jamais de formulaires et ignorons les chemins d’administration, de connexion et d’API.
• Robot identifié. Les requêtes d’exploration utilisent l’agent utilisateur ContentMasBot/1.0 et respectent les règles Disallow de robots.txt visant tous les agents et ContentMasBot.
• Limites. Le nombre de pages par audit de site dépend de votre plan (10 sur Free, 1 000 au maximum), trois requêtes simultanées, environ deux minutes et demie d’exploration, 10 secondes et 2 Mo par requête, et trois redirections.
• Vérifications comparatives. Pour tester la visibilité dans l’IA et la recherche, un petit nombre fixe de requêtes (au maximum 40 pour les vérifications de visibilité IA) récupère à nouveau des pages clés avec des agents utilisateurs de navigateur et de robots d’IA (comme OAI-SearchBot et ClaudeBot) afin de vérifier s’ils reçoivent le même contenu.
• Limites de fréquence. Chaque visiteur ne peut lancer que quelques audits de site sur une courte période.

Les propriétaires de sites peuvent bloquer ContentMasBot dans robots.txt ou nous demander d’arrêter d’analyser leur domaine via notre formulaire de contact.

Les utilisateurs connectés peuvent exporter leurs données au format JSON et supprimer eux-mêmes l’intégralité de leur compte et de ses rapports dans Tableau de bord → Paramètres. Vous pouvez aussi demander une copie de vos données, leur rectification ou leur suppression, ou vous opposer au traitement : envoyez vos demandes via notre formulaire de contact avec l’objet « Privacy » (confidentialité). Nous répondons dans un délai d’un mois, ou plus tôt si votre législation locale l’exige. Consultez Vos droits pour le détail par région.

Si vous découvrez un problème de sécurité dans ContentMas, merci de nous le signaler via notre formulaire de contact avec l’objet « Security » (sécurité), en indiquant les étapes pour le reproduire. N’accédez pas aux données d’autres utilisateurs, ne dégradez pas le service et ne publiez aucun détail avant que nous ayons corrigé le problème. Nous accuserons réception de votre signalement et vous tiendrons informé. Les recherches de bonne foi qui respectent ces règles ne feront pas l’objet de poursuites.

Chaque audit détecte la région d’audience du site (par exemple l’UE, le Royaume-Uni, les États-Unis, l’Inde, le Pakistan ou le Golfe) à partir de signaux tels que le domaine, les adresses, les indicatifs téléphoniques, la langue et la devise, et vous pouvez la définir vous-même. Il applique ensuite des vérifications adaptées à la région pour :

• Confidentialité : une politique de confidentialité facile à trouver et les informations attendues en vertu de lois telles que le GDPR (« RGPD »), le UK GDPR, le CCPA/CPRA, le DPDP Act indien et l’UAE PDPL ;
• Cookies : la présence d’un mécanisme de consentement lorsque des traceurs et des cookies non essentiels sont utilisés, comme le prévoient la directive ePrivacy (ePrivacy Directive) et le PECR ;
• Accessibilité : les obstacles techniques courants et une déclaration d’accessibilité, en appliquant l’acte européen sur l’accessibilité (European Accessibility Act) et les règles britanniques applicables au secteur public le cas échéant ;
• Informations destinées aux consommateurs : conditions, remboursement, contact et informations sur l’identité de l’entreprise attendues selon le type et la région du site.

Ces vérifications signalent des lacunes probables à partir de ce qui est publiquement visible sur le site. Elles ne constituent pas un conseil juridique et ne peuvent pas confirmer qu’un site respecte une loi. Consultez un avocat qualifié avant de vous y fier.

Sources primaires des règles suivies par ces vérifications :

• Règlement général sur la protection des données de l’UE (EU General Data Protection Regulation) : Règlement (UE) 2016/679 sur EUR-Lex
• UK GDPR et lignes directrices PECR : Information Commissioner’s Office : articulation entre le PECR et le UK GDPR (s’ouvre dans un nouvel onglet)
• Accessibilité : Règles pour l’accessibilité des contenus Web (WCAG) 2.2 du W3C
• Consignes de recherche : Google Search Essentials