Security at Contentful

Nous avons élaboré un programme de sécurité complet régi par notre système de gestion de la sécurité de l’information (ISMS) et conforme à la norme internationale ISO 27001:2013. Cette norme garantit que Contentful évalue systématiquement les risques, les menaces et les vulnérabilités de sécurité de l'information pour ses utilisateurs et qu’elle maintienne en place des contrôles et un processus de gestion pour gérer en permanence les risques et répondre aux besoins de sécurité. Pour assurer une neutralité impartiale, la certification est effectuée par des auditeurs tiers indépendants.

Notre conformité ISO est valable du 3 juin 2019 au 2 juin 2025, avec une recertification tous les trois ans. Vous pouvez télécharger notre certificat ISO 27001 ici et obtenir des détails supplémentaires de notre auditeur indépendant .

Notre équipe de direction est responsable de la sécurité et veille à ce que les capacités et les compétences de sécurité soient en place à tous les niveaux de notre entreprise. Dans l’ensemble, nous suivons une approche holistique et collaborative pour garantir la confidentialité, la disponibilité et l’intégrité de vos données. Vous pouvez lire sur cette page les différentes politiques et mesures de sécurité prises par Contentful pour protéger le contenu et les données des utilisateurs qui sont hébergés sur notre plateforme contre tout accès non autorisé.

Comment nous protégeons votre contenu

Notre infrastructure fonctionne uniquement sur Amazon Web Services (AWS), qui fournit une infrastructure en tant que service avec des capacités de sécurité de premier ordre.

Centres de données conformes à la norme ISO 27001

Les centres de données utilisés pour stocker votre contenu et le livrer à vos utilisateurs sont également certifiés conformes à la norme ISO 27001.

Stockage et chiffrement des données au repos

Vos données sont cryptées au repos dans les compartiments AWS S3, les instances AWS RDS et les périphériques blocs utilisés par les instances AWS EC2. Le cryptage AES256 est utilisé par défaut via les services de cryptage AWS, tandis que la gestion des clés est gérée par AWS KMS. Le contenu est ainsi préservé et protégé des regards indiscrets et des manipulations.

Tous les mots de passe utilisateur sont hachés à l'aide de la fonction de hachage de mot de passe Bcrypt et stockés dans la base de données. La base de données Bcrypt utilise des sels et 11 tours d'algorithme pour augmenter la complexité du hachage et minimiser le risque de craquage des mots de passe.

Chiffrement en transit

Toutes les communications entre vous, vos services et Contentful, notamment vos données, traversent Internet via le trafic HTTPS crypté utilisant TLS v1.2. De plus, les données sont également cryptées pendant le transit entre Contentful et nos réseaux de diffusion de contenu (CDN). Ce cryptage effectué pendant la communication garantit que les informations ne puissent être ni lues ni manipulées par des tiers non autorisés.

Tests de pénétration annuels

Notre infrastructure, nos applications Web et nos API sont testées chaque année par des tiers indépendants. Toute vulnérabilité identifiée est corrigée en fonction de nos spécifications dans un SLA interne.

Sauvegardes

Toutes nos données, notamment les compartiments S3 et les sauvegardes quotidiennes des bases de données, sont répliquées entre plusieurs régions grâce à l'utilisation d'AWS. Les données de sauvegarde sont cryptées au repos à l'aide du cryptage AES-256 avec des clés fournies par AWS KMS.

Accès aux données

L'accès à vos données est extrêmement restreint. Nous avons sélectionné et formé du personnel de soutien et des ingénieurs d'assistance qui, après votre autorisation explicite, sont en mesure de vous aider à résoudre votre problème en accédant aux données affectées que vous autorisez. Ces actions sont enregistrées, vérifiées et surveillées.

Sécurité physique

Avons-nous mentionné que nous sommes un service cloud natif ? Nous ne disposons pas de centres de données. La sécurité physique de nos serveurs et de vos données est gérée par les certifications de sécurité AWS. La sécurité physique dans nos bureaux est également régie par notre programme de sécurité.

Groupes de sécurité

La mise en réseau dans le cloud est très différente du centre de données standard. Toutes les communications vers et depuis nos serveurs sont contrôlées par des groupes de sécurité stricts, une fonction de sécurité AWS pour le pare-feu dynamique.

Pare-feu d'application Web

Les applications disponibles sur Internet sont constamment menacées d'attaques. Le pare-feu d'application Web fourni par notre CDN constitue l'une des protections mises en œuvre pour protéger nos terminaux d'application.

Détection des menaces

Grâce au système fourni par AWS GuardDuty, nous surveillons et répondons aux menaces lorsqu'elles se produisent. Nous détectons les connexions entrantes et sortantes depuis et vers des adresses IP malveillantes connues, les activités inhabituelles ou non autorisées dans nos comptes AWS, et bien plus encore. Nous utilisons un SOC tierces parties 24/7 pour enquêter sur les menaces et mettre en place des mesures correctives.

Headers sécurisés

Pour protéger nos utilisateurs contre les attaques, nous utilisons des protections de navigateur telles que HTTP Strict Transport Protection. Nous surveillons également en permanence notre cote de configuration SSL. Nous visons au minimum un A pour tous nos domaines généraux et un A+ pour tous les domaines sous notre contrôle total.

Politique de conservation des données

Vos données demeurent dans nos serveurs aussi longtemps que vous en avez besoin. Notre politique de conservation des données et notre politique de classification des données régissent la façon dont nous gérons les données qui doivent être supprimées et retirées.

Protection contre le forçage brutal

Pour éviter que votre compte ne soit compromis par un forçage brutal de notre application Web et de nos API, nous mettons en œuvre des limites de débit et des captchas.

Suivi et rapports

L'accès aux données client est consigné avec les commandes de session SSH en production. Cela fournit une piste qui peut être facilement suivie dans tous les audits de sécurité.

Authentification à deux facteurs (2FA)

Les utilisateurs peuvent protéger leurs comptes Contentful grâce à une authentification à deux facteurs. La 2FA vérifie les utilisateurs via une application d'authentification telle que Google Authenticator, Authy ou Duo Mobile. Les administrateurs de l'organisation peuvent ainsi voir quels utilisateurs ont activé la 2FA via l'application Web.

Comment nous maintenons la fiabilité de notre service

AWS

Notre infrastructure s'exécute dans Amazon Web Services, où tous les composants sont déployés dans au moins trois zones de disponibilité, ce qui minimise les interruptions causées par toute défaillance et maintient en permanence la disponibilité de votre contenu. Des équilibreurs de charge élastiques sont utilisés pour diviser automatiquement la charge et séparer le trafic d'Internet vers tous les nœuds de notre couche front-end.

Kubernetes auto-évolutif

Tous nos composants logiciels fonctionnent dans des conteneurs Docker orchestrés par Kubernetes. Les clusters sont automatiquement redimensionnés lorsque la charge sur le système dépasse le seuil prédéfini. La dernière version de FlatCar alimente cet environnement Kubernetes, ce qui rend les mises à niveau progressives assez simples. Notre plateforme a été conçue à partir de zéro pour prendre en charge des volumes élevés de trafic web et cette pile technologique, associée à une architecture microservice, constitue la pièce fondamentale qui répond à nos besoins de haute disponibilité.

CDN

Plus de 80 % du trafic de l'API Content Delivery est desservi directement par Fastly, notre réseau mondial de diffusion de contenu. Nous utilisons fortement l’API de Fastly pour le peuplement et l’invalidation du cache. Dans le cas peu probable où notre infrastructure connaîtrait des difficultés techniques, le contenu peut donc toujours être servi par le CDN et rester en ligne entre-temps.

Protection DDOS (Distributed Denial of Service)

Nos API et applications Web sont protégées de multiples façons contre les attaques par déni de service. AWS fournit une protection volumétrique contre le déni de service via AWS Shield et Elastic Load Balancing pour garantir une haute disponibilité. Notre CDN de sécurité assure la protection par déni de service de la couche applicative, parallèlement à la protection par pare-feu des applications Web.

Reprise après sinistre et continuité des activités

Contentful utilise des architectures de réplication de base de données pour assurer la redondance et la disponibilité. Les sauvegardes chiffrées sont effectuées fréquemment et stockées sur place dans le centre de données et copiées sur un emplacement de stockage distant. Chaque couche de service clé comporte des composants redondants, tels que plusieurs serveurs qui fournissent le même service et le même contenu, afin de garantir que les pannes n'affectent pas le reste du système. Les centres de données sont également équipés de contrôles pour assurer la sécurité physique et la protection contre les risques environnementaux.

Comment nous sécurisons notre code

SDK Open source

Tous nos kits de développement logiciel sont open source et nous encourageons la contribution de la communauté. Pour faciliter davantage cela, nous nous engageons avec les développeurs et les utilisateurs de nos API, via nos SDK, et documentons nos décisions de développement sur GitHub.

Gestion des vulnérabilités

Toutes les vulnérabilités sont gérées en interne dans notre outil interne de gestion des vulnérabilités. Une fois qu'une vulnérabilité est détectée, un score lui est attribué, à l'aide du système de notation CVSS, et un propriétaire. Nous possédons un SLA interne qui stipule des délais pour corriger les vulnérabilités, tandis que les progrès sont suivis par des outils et, si nécessaire, un post-mortem est organisé comme exercice d'apprentissage pour nos ingénieurs afin d'améliorer la sécurité du code.

Évaluation du code par les pairs

Notre processus de développement est basé sur le mécanisme de demande de pull de GitHub. Une fois qu'un commit est effectué dans une branche d'un référentiel spécifique, le code est révisé par les membres de la même équipe ou par d'autres équipes d'ingénierie. Ce n'est qu'une fois que la demande de pull est approuvée par tous les ingénieurs balisés que le code passe dans le cycle de vie du développement. Nos développeurs et ingénieurs sont également de sérieux praticiens de la programmation par paires, ce qui leur permet de détecter les bogues et les vulnérabilités plus efficacement avant que le code n'entre dans le produit final.

Analyse statique automatique du code

Lorsque du code est engagé dans GitHub, notre processus d’intégration continue lance automatiquement une série de tests. L'analyse statique automatique du code, configurée pour détecter des vulnérabilités à la fois dans le code et dans ses dépendances, constitue l’un de ces tests statiques automatiques du code. La gestion des dépendances est effectuée localement par référentiel, où toutes les dépendances sont étiquetées par version et téléchargées à partir de sources réputées sur HTTPS crypté.

Assurance qualité (AQ)

Une fois le code prêt à être testé, il est déployé dans notre environnement de test. Cet environnement exécute une version réduite de l'infrastructure de production et ne contient aucune donnée de production. L'assurance qualité est effectuée dans un compte AWS différent configuré avec différents noms de domaine pour assurer une séparation complète de la production.

SDLC sécurisé

La sécurité fait partie de l'organisation du produit et influence sa feuille de route et ses fonctionnalités spécifiques. Nous mettons en œuvre la philosophie de la « sécurité dès la conception » où les fonctionnalités de sécurité sont intégrées dans la conception du produit et de l’architecture pour s’assurer que les fonctionnalités existantes et nouvelles soient exemptes de vulnérabilités. Nous croyons fermement que les ingénieurs doivent être responsables du code qu'ils créent et avoir une culture de responsabilité établie, ce qui mène à un niveau élevé de qualité et de sécurité du code.

Comment nous sécurisons notre entreprise

Surveillance de la sécurité et gestion des incidents

Contentful recherche en permanence tout indicateur susceptible de conduire à des incidents. Pour compléter cela, tous les outils d'alerte d'événement que nous utilisons sont également remontés dans les rotations PagerDuty pour l'équipe de réponse aux incidents de Contentful 24h/24, 7j/7. Nous maintenons également un plan de réponse aux incidents qui détaille comment les traiter, notamment les processus de notification, d'escalade, de gestion et de signalement ultérieur.

Programme de sensibilisation à la sécurité

Tous les employés de Contentful et les tiers sous contrat sont tenus de se conformer aux politiques de Contentful relatives à leur domaine de travail, notamment les politiques de sécurité et de confidentialité des données. Notre contrat de travail standard comprend des clauses de confidentialité.

Contentful veille à ce que ses employés suivent régulièrement des formations sur la sécurité et la confidentialité. Les employés occupant des rôles de développeur et d'administrateur suivent également une formation sur le code sécurisé chaque année, tandis que les employés ayant des responsabilités dans le domaine de la sécurité de l'information reçoivent également une formation supplémentaire sur les techniques de protection de la sécurité, les risques et les dernières tendances.

Gestion des appareils mobiles (MDM)

Tous les périphériques matériels (ordinateurs de bureau, ordinateurs portables, téléphones) fournis aux employés de Contentful possèdent des partitions de stockage cryptées ainsi qu'un logiciel MDM qui permet au service informatique de surveiller, gérer, mettre à jour et sécuriser les périphériques et les données qu'ils contiennent. Nous utilisons la capacité d'effacer à distance un appareil en cas de perte ou de vol d'appareils.

Politiques de sécurité

Contentful dispose de plusieurs politiques internes directement liées ou contenant des détails sur la confidentialité des données, la sécurité et l'utilisation acceptable, notamment le Manuel de l'employé, le plus largement diffusé et disponible, qui comprend une documentation sur la sécurité, la confidentialité des données et les mesures connexes. En outre, Contentful dispose également d'une politique de confidentialité publique, ainsi que d'un livre blanc sur la sécurité et de nombreuses fiches de données de sécurité qui sont disponibles sur demande auprès de votre contact commercial Contentful ou de votre chargé de compte.

Carte bancaire/sécurité de paiement

Contentful utilise une intégration entre l’infrastructure de Zuora et de Stripe pour traiter les paiements par carte bancaire, ce qui signifie qu’aucune information de carte ou personnelle connexe n’est stockée sur nos serveurs. Zuora et Stripe appliquent des critères de conformité PCI DSS (Payment Card Industry) rigoureux pour garantir que toutes les données stockées et/ou traitées sur leurs serveurs soient traitées de manière sécurisée.

En plus des mesures de confidentialité et de sécurité, Stripe utilise une vaste gamme de vérifications conçues pour minimiser les fraudes de paiement et les accès non autorisés. Ces vérifications comprennent l'autorisation 3D-Secure, la vérification des antécédents de carte bancaire, le signalement des transactions suspectes pour permettre une vérification manuelle, et la surveillance en temps réel des transactions de paiement avec des algorithmes anti-fraude automatisés.

Gestionnaires et politique de mots de passe

Pour garantir un niveau acceptable de sécurité par mot de passe, nous avons mis en place une politique de mot de passe, qui sera actualisée en 2019 pour se conformer aux nouvelles normes basées sur les directives du NIST (National Institute of Standards and Technology). Les mots de passe trop génériques ne sont pas autorisés et l'utilisation de mots de passe uniques à chaque site Web est fortement conseillée. Nous encourageons également l'utilisation de gestionnaires de mots de passe, qui vous aident à garder une trace de vos identifiants plus facilement et en toute sécurité.

Gestion de la sécurité des fournisseurs

Chaque technologie, SaaS ou outil est évalué pour assurer une bonne compréhension des risques encourus. Notre questionnaire d'évaluation de la sécurité des fournisseurs, ou VSAQ, est basé sur les normes VSA - Vendor Security Alliance - et CSA - Cloud Security Alliance. Des accords de confidentialité et de non-divulgation sont requis lors du partage de tout type d'informations confidentielles, qui pourraient être de nature sensible, exclusive et/ou personnelle, entre Contentful et un tiers externe. Tout prestataire de services tiers dont les services impliquent l'accès à des informations confidentielles doit accepter des engagements contractuels en matière de confidentialité et de sécurité des données en fonction de son niveau d'accès et de traitement des informations.

Authentification multifacteur

L'utilisation de l'authentification multifacteur (MFA) est appliquée dans tous les services principaux sur lesquels s'appuie Contentful. Contentful encourage également l’utilisation de la MFA par ses employés et ses clients. Contrairement à l’utilisation d’un simple mot de passe, l’utilisation de la MFA fournit une mesure supplémentaire pour vérifier l’identité revendiquée d’un utilisateur. Actuellement, notre exigence minimale pour la mise en œuvre de la MFA consiste en l'utilisation d'un mot de passe combiné avec un jeton d'accès (par exemple, un code fourni par Google Authenticator). La MFA est également obligatoire pour l'accès AWS et GitHub.

Normes de sécurité de Contentful

Vous pouvez en savoir plus sur les normes de sécurité employées chez Contentful ici.

Comment protéger vos données

SSO

Nous fournissons des fonctionnalités Single Sign-On via SAMLv2. Nos clients ont ainsi un contrôle total sur qui a accès à l'utilisation de notre produit et comment l'authentification a lieu. Les clients peuvent mettre en œuvre leurs propres stratégies de mots de passe et implémentations d'authentification multifacteur.

Provisionnement SCIM

Les organisations qui gèrent l'accès aux outils et aux services pour un grand nombre d'utilisateurs peuvent tirer parti de l'intégration construite autour d'un protocole standard connu sous le nom de SCIM (System for Cross-domain Identity Management). Avec le provisionnement SCIM, vous pouvez exploiter une API SCIM pour accorder automatiquement à vos utilisateurs l'accès à Contentful, ou l'intégrer via des fournisseurs d'identité (IdP) comme Okta pour synchroniser l'adhésion avec les équipes de Contentful - le tout basé sur les données d’utilisateur gérées de manière centralisée dans votre plateforme IdP.

Clés API - rotation des clés

Vos données sont protégées derrière plusieurs clés API, utilisées dans différents contextes pour des cas d'utilisation particuliers. Les clés sont attribuées à l’utilisateur et suivent le privilège de l’utilisateur associé à une organisation et à un espace. Notre application impose une autorisation pour chaque appel d'API, à l'exception des actifs.

Rôles et autorisations

Contentful encourage fortement l'utilisation de rôles et d'autorisations afin de fournir aux divers utilisateurs différents niveaux de droits d'accès au contenu, aux fonctionnalités et aux caractéristiques. Ceci est conforme aux principes de sécurité du « privilège minimal » et du « besoin de savoir », qui ajoutent une autre couche de protection pour empêcher les accès non autorisés et limiter les dommages en cas de compromission des identifiants d’un utilisateur.

HTTPS

Bien que toutes les activités relatives au contenu et aux données transitant sur Internet soient menées avec HTTPS appliqué du côté de Contentful, nous recommandons absolument que les clients et les utilisateurs appliquent également HTTPS afin que l’intégrité du contenu et des données soit maintenue et exempte de toute manipulation lorsque ces derniers sont fournis par notre service aux machines de vos utilisateurs. L'utilisation des sites Web HTTPS protège également vos données et informations d'identification importantes en empêchant qu’elles ne soient visibles à des tiers non autorisés.

Mot de passe sécurisé pour l'inscription à Contentful

Pour vous inscrire auprès de Contentful, il est nécessaire de créer un mot de passe sécurisé d'au moins 8 caractères associant des lettres, des chiffres et des caractères spéciaux tels que '@,!.#._' et ainsi de suite.

Voici quelques exemples de mots de passe sécurisés :

Un simple mot de passe hellocontentful peut être rendu plus sûr et complexe en l’écrivant He!!0C0ntentful.
De même, administrateur peut être épelé @dmini$trat0r.
Une ligne aléatoire mais facile à retenir, par exemple Save the number for later in the year peut être abrégée St#4LINY.

Importance d'un mot de passe sécurisé

L'ère numérique moderne actuelle comprend des appareils sous de nombreuses formes différentes, tels que les ordinateurs de bureau, les ordinateurs portables, les smartphones, les montres intelligentes et les tablettes. Ces appareils sont généralement connectés à d'autres appareils informatiques et partagent des informations. Dans de nombreux cas, ils peuvent également se connecter à des banques pour effectuer des transactions financières. Tous ces appareils sont potentiellement vulnérables à une utilisation abusive par des utilisateurs non autorisés. Les utilisateurs doivent donc toujours les protéger avec des mots de passe forts et sécurisés.

Voici quelques recommandations pour créer un mot de passe sécurisé :

Créez des mots de passe longs et complexes. Évitez d'utiliser comme mots de passe des dates importantes (comme une date d'anniversaire) et des noms communs (ou des noms qui peuvent vous être associés).
Utilisez une combinaison de lettres majuscules et minuscules, de chiffres et de caractères spéciaux.
Modifiez vos mots de passe fréquemment.
Évitez d'utiliser un mot de passe que vous utilisez déjà pour d'autres services. Essayez d'avoir des mots de passe différents pour chaque service respectif. Alternativement, vous pouvez également utiliser Password Manager ou d'autres services similaires.
Créez une couche de sécurité supplémentaire en utilisant des services tels que l'authentification à deux facteurs ou les codes d'accès (en particulier sur vos téléphones portables).
N'écrivez pas vos mots de passe car cela facilite le vol et leur utilisation par quelqu'un d'autre.

Apprenez-en davantage sur les mots de passe non sécurisés qui ont déjà été exposés dans les violations de données. Cette exposition les rend impropres à une utilisation continue car ils courent un risque beaucoup plus grand d’être utilisés pour prendre en charge d’autres comptes.

En cas d'incident de sécurité

Les incidents peuvent arriver à n'importe qui — nous sommes prêts à gérer un tel événement lorsqu’il se produit. Nous gérons les incidents de sécurité via un processus documenté, qui comprend la notification et la coopération avec les clients, les autorités de protection des données et les forces de l'ordre. Contentful informera les clients concernés sans retard injustifié après la détection de l'incident, et nous partagerons une évaluation préliminaire de l'incident et serons ouverts à toute coopération. Nous suivons l’article 33 du RGPD lorsque des données à caractère personnel sont impliquées, et alertons l’autorité de contrôle en cas de violation de telles données.

Comment signaler les vulnérabilités

Contentful s'engage auprès de la communauté via notre programme de divulgation responsable, également connu sous le nom de Programme Bug Bounty. Notre communauté joue un rôle important en nous aidant à éviter les bugs et à rester en sécurité.

Vous avez identifié une vulnérabilité ? Voulez-vous signaler un bug ou quelque chose d'intéressant que vous avez trouvé ? La meilleure façon de nous contacter consiste à le faire via le formulaire de signalement ci-dessous.

Pour d'autres questions de sécurité, vous pouvez nous contacter soit par e-mail à support@contentful.com, soit en ouvrant un ticket. Pour les communications chiffrées, notre clé PGP est disponible sur Keybase. Nous vous conseillons de vous abstenir d'annoncer publiquement une vulnérabilité ou un bug avant d'entrer en contact avec vous et de travailler sur une mesure corrective.

Notez que *.learningcenter.contentful.com est hors de portée de notre programme Bug Bounty.