Sécurité

Vos données comptables méritent mieux que des mots de passe partagés et des jetons de longue durée dans des scripts. Exact Gateway est conçu pour que chaque utilisateur reçoive le moindre accès nécessaire, et que rien ne fuie en cas de problème.

Moindre privilège par défaut

• Chaque clé API et application connectée commence sans accès. Vous accordez explicitement les types de données, les actions (lecture, écriture, suppression) et les administrations.
• L’écriture et la suppression demandent leur propre droit ; une clé en lecture seule ne peut jamais modifier de données.
• Les administrations sont désactivées jusqu’à ce qu’un administrateur les active.

Connexion robuste

• Mots de passe hachés avec Argon2id ; limitation des tentatives et verrouillage des comptes.
• L’authentification à deux facteurs est obligatoire pour les administrateurs et pour autoriser des applications.
• Sessions dans des cookies sécurisés HTTP-only, révoquées lors d’un changement de mot de passe.

Chiffrement

• Les jetons Exact Online, les jetons OAuth et les données en cache sont chiffrés au repos (AES-256-GCM avec clés versionnées). Chaque valeur est liée à son propre enregistrement : une valeur copiée est inutilisable ailleurs.
• Les clés API sont affichées une seule fois et stockées uniquement sous forme de hachage.
• Tout le trafic utilise TLS.

Transmettre, pas stocker

Par défaut, vos données Exact traversent la passerelle sans être stockées. Le cache optionnel garde des copies chiffrées en mémoire au plus pendant la durée choisie (jusqu’à 24 heures) et est effacé lorsque vous le désactivez, déconnectez Exact ou désactivez une administration.

Transparence

• Un journal d’audit par organisation : connexions, changements de droits, connexions Exact, applications connectées et chaque requête refusée.
• Les applications IA connectées sont listées et révocables instantanément.

Infrastructure

• Hébergé dans l’UE. Les conteneurs tournent sans privilèges sur des systèmes de fichiers en lecture seule.
• Les dépendances et images sont analysées chaque jour pour détecter les vulnérabilités.

Rôles

Pour vos données, vous êtes le responsable du traitement et MVdW-Software est le sous-traitant. Voir le contrat de traitement des données. Vous avez trouvé une vulnérabilité ? Écrivez à info@mvdw-software.com.