Il-fiduċja ma tiġix iddikjarata. Tiġi vverifikata.
Din il-paġna fiha biss mekkaniżmi preżenti fil-kodiċi jew fl-infrastruttura, bil-valuri reali tagħhom, u b'data ta' verifika. Meta xi ħaġa għadha ma teżistix — ċertifikazzjoni, sandbox pubblika — niktbu dan ukoll. Il-bqija tas-sit ibigħ; din il-paġna tiddeskrivi.
AES-256-GCM meta tistrieħ, TLS waqt it-trasmissjoni
Id-data sensittiva — dokumenti, identitajiet, elementi ta' valutazzjoni, kontenut tar-rapporti — tgħix f'kolonni kriptati b'AES-256-GCM (il-kolonni _enc tal-iskema). Is-superfiċji kollha huma servuti fuq TLS.
Uffiċċju wieħed, tenant wieħed — infurzat mid-database, mhux mill-kodiċi
Kull uffiċċju huwa separat permezz tar-Row Level Security ta' PostgreSQL f'modalità forced, tabelli anċillari inklużi: id-database tirrifjuta li sservi ringiela ta' uffiċċju ieħor, anke lil kodiċi tal-applikazzjoni difettuż. Il-cockpit tan-netwerk jaggrega indikaturi; l-ebda rapport ta' tranżazzjoni suspettuża ma jidher qatt fuq superfiċje kondiviża (art. L.561-18 tal-CMF Franċiż).
Reġistru kkatinat, ankrat għand parti terza, verifikabbli mingħajrna
Kull fajl iżomm reġistru ta' integrità kkatinat f'SHA-256; l-għeruq huma ankrati għand awtorità terza tat-timbru tal-ħin (protokoll RFC 3161). Il-verifikaturi huma ppubblikati u jaħdmu offline, mingħajr kont Vigilae: spettur — jew kompetitur — jista' jerġa' jikkalkula l-katina minn /verif/. Il-prova ma tiddependix mill-abbonament.
TOTP, passwords eżiġenti, sessjonijiet ibbażati fuq epoka
It-tieni fattur TOTP huwa disponibbli fuq kull kont u jista' jsir obbligatorju għal uffiċċju sħiħ. Il-passwords huma ta' minimu 12-il karattru, b'kontroll tal-entropija — tnax-il darba l-istess ittra ma tgħaddix. Is-sessjonijiet huma bbażati fuq epoka: logout jew reset jinvalida immedjatament kull token maħruġ qablu, fuq kull apparat.
CSP stretta kull fejn tgħix data personali
Is-superfiċji li juru data personali huma servuti b'Content Security Policy stretta — l-ebda script inline, l-ebda oriġini ta' parti terza, l-ebda kejl tal-udjenza. Is-sit pubbliku jitkejjel mingħajr cookies.
Kriptati, 3-2-1, restawr ittestjat kull ġimgħa
Backups restic kriptati, skont ir-regola 3-2-1: tliet kopji, żewġ media, waħda barra mis-sit. Eżerċizzju awtomatizzat ta' restawr isir kull ġimgħa — backup li qatt ma ġie restawrat huwa biss tama. Żamma ppubblikata: dawk ta' kuljum jinżammu 90 jum, dawk ta' kull ġimgħa 52 ġimgħa; data mħassra mid-database għalhekk tisparixxi mill-backups kollha mhux aktar tard minn 12-il xahar wara t-tħassir — il-perjodu li nindikawh skont il-ftehim tal-ipproċessar tad-data tagħna. Is-sigrieti huma f'escrow f'repożitorji separati mid-data.
Attivata hawn mill-5 ta' Settembru 2026, residenza ddikjarata, għassa mal-istartjar
F'dan is-servizz, l-assistenza bl-IA hija attivata: il-mudell huwa Claude, ta' Anthropic, imħaddem fuq Google Cloud (Vertex AI) fir-reġjun europe-west1. Jirċievi l-kontenut tad-dokumenti mibgħuta għall-estrazzjoni u t-test tal-mistoqsijiet magħmula lill-kopilota; din id-data ma tintużax biex tħarreġ mudelli, u l-prompts jinżammu għal massimu ta' sittin jum, unikament biex jinstab l-abbuż. Xejn ma jitlaq mingħajr serratura ssettjata espliċitament; f'installazzjoni ġdida l-perċezzjoni bl-IA hija inerti, u l-bqija kollu — skrinjar, klassifikazzjoni tar-riskju, reġistru — jaħdem mingħajrha, fuq magni deterministiċi. Żewġ kontrolli jżommu din il-paġna onesta: għassa mal-istartjar tirrifjuta li tistartja s-server jekk il-fornitur jew ir-reġjun effettiv ikun differenti mid-dikjarazzjoni, u kontroll mat-tqegħid fil-produzzjoni jimblokkah jekk il-lista tal-proċessuri ma ssegwix l-attivazzjoni reali. Id-dettall: il-politika tal-użu tal-IA.
Din il-lista tiġi ġġenerata mill-konfigurazzjoni reali tas-servizz.
OVH SAS (hosting, Franza); Hetzner Online GmbH (kopji ta' sigurtà, il-Ġermanja); OVH SAS (kopji ta' sigurtà, Franza); Google Cloud (assistenza bl-IA — mudell Claude ta' Anthropic, l-Unjoni Ewropea); Stripe Payments Europe, Ltd. (ħlasijiet tal-abbonamenti, l-Irlanda); HubSpot Ireland Ltd (formoli tas-sit pubbliku, l-Irlanda); Brevo (email tranżazzjonali, Franza); OVH SAS (ħażna tad-dokumenti ta’ sostenn, Franza); Google Ireland Ltd (kejl tal-udjenza tas-sit, l-Irlanda). Il-lista sħiħa — skopijiet, data, salvagwardji — hija ġġenerata mill-konfigurazzjoni tas-servizz: /sous-traitants/. Fornitur li mhux fiha ma jipproċessa xejn għalina. L-iskrinjar innifsu jaħdem lokalment: l-ebda isem ta' klijent ma jintbagħat qatt lil bejjiegħ tad-data.
Rapport moqri min-nies li jħaddmu s-servizz
Taħseb li sibt difett? Ikteb lil contact@vigilae.org b'"Security" fis-suġġett: il-messaġġ jasal direttament għand it-tim li jħaddem il-pjattaforma. Iddeskrivi dak li osservajt mingħajr ma tisfrutta l-vulnerabbiltà lil hinn mid-dimostrazzjoni u mingħajr ma taċċessa data li mhijiex tiegħek; aħna nikkonfermaw li rċevejna, insewwu, u nżommuk infurmat bir-riżultat. Indirizz iddedikat jiġi ppubblikat hawn meta jeżisti — mhux qabel.
L-ebda ċertifikazzjoni pretiża — għax ma nżommu l-ebda waħda
Hawnhekk la ssib logo u lanqas akronimu ta' ċertifikazzjoni: sal-lum ma nżommu l-ebda waħda, u li nuru waħda tkun gidba. Il-proċeduri tagħna — logging, backups ittestjati, reviżjonijiet tas-sigurtà, reġistri tal-ipproċessar — huma mibnija biex ikunu awditabbli minn parti terza; il-jum li tinkiseb ċertifikazzjoni, hija tidher hawn bil-perimetru eżatt u d-data tagħha. Sa dakinhar, il-mekkaniżmi ta' hawn fuq jistgħu jiġu vverifikati mingħajr badge.
Ivverifikat fl-20 ta' Awwissu 2026, mal-kodiċi u mal-konfigurazzjoni tal-produzzjoni ddikjarata. Din il-paġna tiġi aġġornata meta jinbidlu l-mekkaniżmi — mhux fuq skeda fissa. L-ebda għodda ma tista' tiggarantixxi konformità totali u lanqas l-assenza ta' inċidenti; dak li nistgħu nagħmlu huwa nuruk fejn tħares.