Architecture de Sécurité & Protection Cryptographique
Dernière révision : 15 Octobre 2026 • Version 6.0 Sovereign Clearinghouse. VAT Mesh applique les principes de défense en profondeur, d'isolation stricte des locataires (One-Tenant-One-SQLite) et de non-répudiation cryptographique pour protéger chaque transaction fiscale transfrontalière.
01. Modèle d'Isolation One-Tenant-One-SQLite
Contrairement aux architectures SaaS mutualisées où les données de milliers d'entreprises partagent une seule table avec un simple identifiant tenant_id (source fréquente de failles d'élévation de privilèges ou d'IDOR), VAT Mesh applique une stricte ségrégation :
- Partition physique isolée : Chaque entité juridique dispose d'un conteneur de données SQLite dédié, stocké hors de la racine web publique et accessible uniquement par le thread de session authentifié.
- Contrôle d'accès middleware strict : Tout accès aux API exige une signature HMAC ou un jeton de session validé cryptographiquement avant d'ouvrir la connexion à la base de données.
- Sanctuarisation de la racine web : Les répertoires sensibles (
data/,src/db/,secrets/, extensions.sqlite,.env,.key) sont bloqués au niveau du serveur web (Apache/Passenger) et inatteignables publiquement.
02. Sécurité des Sessions & Authentification Server-Side
Les mécanismes d'authentification de VAT Mesh sont conçus pour interdire tout vol de session ou attaque XSS :
Cookies HttpOnly & SameSite
Les jetons de session sont stockés dans des cookies HttpOnly; Secure; SameSite=Lax inaccessibles par les scripts JavaScript du client, bloquant toute fuite par XSS.
Clés API Scellées SHA-256
Les clés d'intégration API (otk_live_...) utilisent une entropie cryptographique de 256 bits et sont hachées unilatéralement avec salt cryptographique avant vérification en base.
03. Immunité aux Injections & Discipline d'Exécution
En stricte conformité avec nos règles d'exploitation (AGENTS.md Règle 5) :
- Requêtes SQL 100% préparées : Aucune concaténation de chaînes dans les requêtes de base de données. Toutes les variables passent par des déclarations préparées avec typage strict.
- Interdiction absolue des shells non contrôlés : Aucun appel
execSyncou shell direct n'est exécuté à partir d'entrées fournies par l'utilisateur. Seules des listes blanches statiques etexecFileSyncavec arguments typés sont autorisées. - Limiteur de débit multi-niveaux : Protection contre les attaques par force brute et par déni de service (DDoS) par limitation de requêtes par IP et par compte, bloquant les tentatives automatisées d'énumération.
04. Périmètre d'Hébergement & Tierce-Partie
Par discipline de véracité et transparence (AGENTS.md Règle 6) :
- Centres de Données Souverains : L'infrastructure de production est hébergée dans des datacenters Tier-3 situés dans l'Union Européenne (Allemagne et France), certifiés ISO/IEC 27001 et ISO/IEC 9001 par nos prestataires d'infrastructure.
- Paiements Certifiés PCI-DSS Level 1 : Les transactions par carte bancaire sont traitées par Stripe (l'entité contractante dépend du pays de l'acquéreur) et aucun rail bancaire local n'est activé. Aucune donnée de carte bancaire ne transite ni n'est stockée sur nos serveurs.
- Transparence contractuelle : La plateforme ne s'auto-attribue aucune certification qu'elle ne détient pas en propre et fonde ses garanties sur des preuves cryptographiques mesurables et vérifiables publiquement.
05. Signalement de Vulnérabilité (Responsible Disclosure)
VAT Mesh accueille avec gratitude les contributions de la communauté des chercheurs en cybersécurité. Si vous découvrez une faille potentielle dans nos services :
06. Éditeur / Responsable du traitement / Contact
Note : les mentions légales complètes (raison sociale, siège, immatriculation, identifiant fiscal, juridiction, représentant légal et DPO nommé) seront publiées dès qu'elles seront vérifiées. VATMesh ne publie aucune donnée d'immatriculation non vérifiée.