Sécurité
Les ventes, les contenus et les contrats de tes modèles passent par Velora. Voici comment on les protège, point par point. Que du concret, déjà en place.
Mesures de sécurité
Chaque agence isolée
Chaque donnée porte l'identifiant de son agence. Le filtre est posé deux fois : dans le code et dans PostgreSQL (Row Level Security).
Des tests automatiques vérifient sur chaque route qu'une agence ne lit jamais les données d'une autre.
Une clé de chiffrement par agence
Tes clés d'intégration et les sessions de tes modèles sont chiffrées en AES-256-GCM, avec une clé propre à ton agence.
Cette clé est elle-même chiffrée par une clé maître, gardée hors de la base. Une clé n'est jamais réaffichée en entier.
Connexion à double verrou
Mots de passe hachés en Argon2id. 2FA obligatoire pour les propriétaires et admins. Passkeys acceptées.
Sessions renouvelées, blocage progressif après des échecs, alerte à chaque nouvel appareil, déconnexion à distance.
Médias privés
Aucune photo ni vidéo n'a d'adresse publique. Chaque lien est signé et expire en 5 minutes.
Les aperçus portent un filigrane invisible propre à chaque modèle. Une fuite se retrouve.
Anti-aspiration
Limites de requêtes par IP, par compte et par agence. Une rafale suspecte est bloquée et signalée.
50 éléments maximum par page, Cloudflare Turnstile à l'inscription et à la connexion. Aucune réponse ne dit si un e-mail existe.
Zéro traceur
Aucun script tiers ne tourne, sauf Stripe pour payer et Turnstile contre les robots.
HSTS, cookies __Host- en SameSite, origine contrôlée sur chaque requête, en-têtes COOP et CORP.
Journal d'audit
Invitations, rôles, clés, exports, suppressions : tout est noté, avec qui et quand.
Le journal ne se modifie pas. Ton équipe le lit dans les réglages.
App iPhone verrouillée
App Attest d'Apple : seule la vraie app peut parler à l'API. Sessions rangées dans le trousseau iOS.
Écran flouté en arrière-plan, domaines autorisés seulement, certificat de l'API épinglé.
RGPD
Export et suppression des données depuis la console. Un accord de traitement (DPA) signé avec chaque agence.
Sauvegardes chiffrées chaque jour. Les données des modèles appartiennent à leur agence.
Ce qu'on ne fera jamais
Des engagements écrits dans nos conditions.
Vendre ou louer tes données, ou celles de tes modèles.
Mettre un traceur publicitaire sur le site, la console ou l'app.
Regarder les contenus de tes modèles. Notre équipe n'y a pas accès, sauf si tu le demandes par écrit pour une panne.
Contacter tes modèles pour leur proposer autre chose.
Tu as trouvé une faille ?
Écris à support@velora-hq.com. On répond sous 48 h ouvrées et on te tient au courant du correctif.
Ton app peut être prête cet après-midi.
Crée ton compte, mets tes couleurs, invite ta première modèle.