🛡️ Fonctionnalités de Sécurité

🔒 Chiffrement AES-256-CBC Qualité Militaire

Chaque fichier téléversé sur FileWalla est chiffré à l'aide du chiffrement AES-256-CBC, la même norme utilisée par les gouvernements et les armées du monde entier pour protéger les informations classifiées.

• Clés de chiffrement uniques par organisation
• Dérivation sécurisée des clés à partir de la clé maître (stockée dans les variables d'environnement)
• Chiffrement côté serveur avec gestion de clé maître
• Permet la modération légale du contenu tout en maintenant une sécurité solide

🛡️ Chiffrement Côté Serveur vs de Bout en Bout

FileWalla utilise un chiffrement solide côté serveur (AES-256) pour protéger tous les fichiers au repos, ainsi qu'un chiffrement en transit (TLS) pour protéger les données pendant le transfert.

Nous avons intentionnellement choisi un modèle de chiffrement côté serveur plutôt que le chiffrement de bout en bout. Cette décision nous permet de fournir des fonctionnalités essentielles de sécurité et de conformité, notamment l'analyse de logiciels malveillants, la détection d'abus, la modération légale du contenu et les options de récupération sécurisée des fichiers.

Bien que le chiffrement de bout en bout empêche même le fournisseur de services d'accéder au contenu, il supprime également la capacité d'analyser les virus, de prévenir la distribution de contenu illégal, d'aider les utilisateurs qui perdent leurs identifiants ou de se conformer aux obligations légales dans les juridictions réglementées comme le Canada.

Notre approche équilibre la confidentialité, la sécurité et la responsabilité légale. Les fichiers stockés sur nos serveurs ne peuvent pas être consultés en dehors du système FileWalla, et des contrôles d'accès stricts régissent toute capacité de déchiffrement administratif.

Nous croyons que la sécurité responsable signifie protéger les données des utilisateurs tout en prévenant les abus et en maintenant la conformité avec les lois applicables. Notre modèle de chiffrement reflète cet équilibre.

🛡️ Analyse Antivirus Multiniveau Actif

Tous les fichiers sont analysés à la recherche de virus et de logiciels malveillants AVANT le chiffrement à l'aide d'une approche multicouche:

• ClamAV (Principal): Antivirus standard de l'industrie avec mises à jour quotidiennes
• phpMussel (Secours): Détection de logiciels malveillants basée sur des modèles
• Politique de Confiance Zéro: Téléversements bloqués si aucun analyseur n'est disponible
• Vérification d'Analyse: Des badges visuels montrent quel analyseur a vérifié chaque fichier
• Journalisation Complète: Tous les événements d'analyse enregistrés dans la piste d'audit

🚫 Blocage des Archives Chiffrées Tolérance Zéro

Les fichiers ZIP, RAR et 7z protégés par mot de passe sont automatiquement bloqués pour prévenir les abus et garantir que tout le contenu peut être analysé à la recherche de matériel illégal.

• Détection automatique des archives chiffrées/protégées par mot de passe
• Système de 3 infractions avec suspension automatique
• Alertes administrateur pour les violations répétées
• Prévient les abus criminels et la distribution de CSAM

✅ Vérification de l'Intégrité des Fichiers

Chaque fichier comprend des sommes de contrôle SHA-256 pour vérifier l'intégrité et détecter la falsification.

• Hash SHA-256 généré lors du téléversement
• Vérification automatique lors du téléchargement
• Détection de falsification et alertes de corruption

🔐 Hachage de Mots de Passe Bcrypt Standard de l'Industrie

Tous les mots de passe sont hachés à l'aide de Bcrypt avec un facteur de coût de 10, les rendant pratiquement impossibles à craquer même si la base de données est compromise.

• Hachage unidirectionnel (les mots de passe ne peuvent pas être déchiffrés)
• Génération automatique de sel
• Exigences de complexité de mot de passe appliquées
• Minimum 8 caractères, majuscules, minuscules, chiffres, caractères spéciaux

📱 Authentification à Deux Facteurs (2FA) Google Authenticator

2FA optionnel utilisant Google Authenticator ajoute une couche de sécurité supplémentaire à votre compte.

• Implémentation TOTP (Mot de Passe à Usage Unique Basé sur le Temps)
• Configuration par code QR pour une mise en place facile
• Codes de secours pour la récupération de compte
• Obligatoire pour les comptes administrateurs

🚨 Protection Progressive contre la Force Brute Multicouche

Protection avancée multiniveau contre les attaques de connexion avec des contre-mesures évolutives:

• Force Brute Standard: 5 tentatives échouées en 5 minutes → verrouillage IP de 10 minutes
• Attaque par Dictionnaire: 20+ tentatives par minute → verrouillage IP de 1 heure + alerte administrateur
• Récidivistes: 3 attaques par dictionnaire en 24 heures → INTERDICTION PERMANENTE
• Journalisation Complète: Toutes les tentatives échouées suivies avec IP, horodatage et piste d'audit
• Alertes Automatiques: Administrateur notifié de tous les événements de sécurité par courriel

🍪 Gestion Sécurisée des Sessions

Les sessions sont configurées avec des paramètres de sécurité maximum pour prévenir le détournement et le vol.

• Cookies HTTPOnly (empêche l'accès JavaScript)
• Indicateur Secure (transmission HTTPS uniquement)
• Régénération de session à la connexion
• Expiration automatique après inactivité

💉 Prévention de l'Injection SQL Couverture 100%

Toutes les requêtes de base de données utilisent des instructions préparées PDO, rendant les attaques par injection SQL impossibles.

• Requêtes paramétrées dans l'ensemble du code
• Assainissement et validation des entrées
• Couche d'abstraction de base de données pour la portabilité

🔍 Journalisation d'Audit Complète

Chaque action liée à la sécurité est journalisée avec des détails complets pour l'analyse forensique.

• Connexions, déconnexions, changements de mot de passe
• Téléversements, téléchargements, suppressions de fichiers
• Tentatives de connexion échouées et verrouillages de sécurité
• Actions administrateur et modifications système
• Adresses IP, horodatages et agents utilisateurs

⚖️ Outils de Conformité Légale Loi Canadienne

Outils intégrés pour la modération légale du contenu et la conformité avec la loi canadienne.

• Tableau de bord de modération de contenu pour les administrateurs
• Signalement de CSAM au NCMEC/Cybertip.ca/GRC
• Préservation des preuves pour les forces de l'ordre
• Prévenir les abus criminels tout en maintenant la confidentialité

👥 Contrôle d'Accès Basé sur les Rôles

Système de permissions à trois niveaux pour la collaboration de groupe avec des hiérarchies claires.

• Propriétaire: Contrôle total, gestion de la facturation, approbation des membres
• Administrateur: Gestion des membres, modération des fichiers
• Membre: Partage de fichiers, messagerie au sein du groupe

🌐 Hébergement Sécurisé

Hébergé sur une infrastructure canadienne pour maintenir la souveraineté numérique et de domaine avec résidence de données canadienne.

• Chiffrement SSL/TLS pour toutes les connexions
• Protection DDoS et filtrage du trafic
• Mises à jour de sécurité et correctifs réguliers
• Protection par pare-feu et détection d'intrusion

🔑 Sécurité des Variables d'Environnement

Les clés de chiffrement maîtres et les identifiants API sont stockés en toute sécurité dans les variables d'environnement.

• Aucun secret dans le code ou le contrôle de version
• SetEnv dans .htaccess pour la production
• Configurations séparées développement/production

📁 Protection du Répertoire de Téléversement

Une configuration spéciale empêche l'exécution de fichiers malveillants dans les répertoires de téléversement.

• .htaccess bloque l'exécution PHP dans uploads/
• Validation et assainissement des types de fichiers
• Les limites de taille préviennent l'abus de stockage

🚨 Détection des Menaces en Temps Réel

Les systèmes automatisés surveillent les activités suspectes et répondent immédiatement.

• Suivi et analyse des connexions échouées
• Détection de modèles d'accès inhabituels
• Verrouillages IP automatiques pour les attaques
• Alertes par courriel aux administrateurs

📈 Tableau de Bord d'Analyse de Sécurité

Le tableau de bord administrateur fournit des métriques et des informations de sécurité en temps réel.

• Tentatives de connexion échouées (vue sur 24 heures)
• Verrouillages IP actifs
• Interdictions permanentes
• Statistiques d'analyse antivirus
• Surveillance de l'activité des utilisateurs