Sécurité chez Acatudy

Chiffrement

• Tout le trafic passe par HTTPS, et les navigateurs reçoivent l’instruction de n’utiliser que HTTPS (HTTP Strict Transport Security).
• Les sessions sont chiffrées et stockées côté serveur ; les cookies de session sont en HTTP-only et inaccessibles aux scripts.
• Les paramètres sensibles, comme les identifiants de connexion Google de chaque académie et les secrets utilisés par les outils d’import, sont chiffrés dans la base de données.
• Les paiements par carte sont gérés par Stripe. Acatudy ne voit ni ne stocke jamais les numéros de carte complets.

Isolation entre académies

Chaque enregistrement dans Acatudy appartient à une académie, et chaque requête en base de données est automatiquement filtrée par cette académie. Tout ce qui est créé est toujours rattaché à l’académie de la personne qui le crée, quoi que dise la requête. Les fichiers sont stockés dans le dossier propre à chaque académie et la plateforme refuse de lire ou d’écrire en dehors.

À chaque nouvelle version, des tests automatisés tentent de lire et de modifier des données d’une académie à l’autre, y compris dans des scénarios de prise de contrôle de compte et en ligne de commande.

Contrôle d’accès

• Chaque personne a un rôle dans chaque académie : propriétaire, administrateur, personnel, enseignant ou élève.
• Les enseignants ne peuvent ouvrir que les matières qui leur sont attribuées, et seulement les parties du tableau de bord que leur rôle autorise. Le retrait de l’accès d’un enseignant prend effet dès son clic suivant.
• Les élèves ne voient que le contenu des matières et des années scolaires auxquelles ils sont inscrits.
• Quand l’assistance Acatudy doit voir une académie en tant qu’administrateur pour aider, cette session expire au bout de 30 minutes et ne peut ni supprimer de données ni modifier la facturation.

Connexion et comptes

• Les échecs de connexion répétés sont limités par compte et par adresse réseau, et le compte est temporairement verrouillé après plusieurs échecs.
• Les élèves définissent leur propre mot de passe à partir d’un lien personnel ; les académies n’envoient jamais de mot de passe par e-mail. Les mots de passe initiaux temporaires expirent au bout de 7 jours.
• Les mots de passe choisis à l’inscription des élèves et dans le formulaire de changement de mot de passe sont comparés aux fuites de données connues.
• Les académies peuvent permettre aux élèves et au personnel de se connecter avec Google.

Fichiers et envois

• Les vidéos et les fichiers audio sont diffusés via des liens signés temporaires qui expirent ; les autres fichiers passent par des routes qui vérifient qui en fait la demande.
• Chaque fichier envoyé est vérifié d’après son contenu réel, pas seulement son nom. Les exécutables, les programmes d’installation et les documents Office avec macros sont refusés, y compris à l’intérieur des fichiers zip.
• Les images SVG sont inspectées et refusées si elles contiennent du contenu actif.
• Les fichiers des académies sont stockés dans un stockage objet situé aux États-Unis ou dans l’Union européenne, selon l’académie.

Protections de la plateforme

• Des limites de requêtes protègent la connexion, l’inscription, la remise des examens, les téléchargements, les paiements et l’API.
• Des en-têtes de sécurité empêchent d’autres sites d’intégrer le tableau de bord dans un cadre, évitent que les navigateurs devinent le type des fichiers et limitent l’accès à la caméra, au micro et à la localisation. Une politique de sécurité du contenu (CSP) de base est appliquée et une version plus stricte est en cours de déploiement.
• Les actions sensibles, comme les changements de facturation, les domaines personnalisés, les imports et exports, les changements de rôle des enseignants, les paiements et les accès de l’assistance, sont enregistrées dans un journal d’audit avec l’heure, l’utilisateur et l’adresse réseau.
• Nous effectuons des sauvegardes régulières de la base de données, dont une avant chaque déploiement.

Propriété et suppression des données

• Votre académie est propriétaire de son contenu et des données de ses élèves. Vous pouvez exporter votre banque de questions, vos carnets de notes et vos historiques de paiement.
• Les élèves peuvent télécharger leurs données personnelles et supprimer eux-mêmes leur compte de l’académie.
• Quand une académie est fermée et que sa suppression est demandée, ses données, ses fichiers, les comptes utilisateurs qui lui sont propres et ses domaines sont supprimés.
• Les enregistrements de consentement aux cookies sont purgés automatiquement lorsqu’ils ne sont plus nécessaires.

Plus de détails dans notre politique de confidentialité.

Questions et signalement de vulnérabilités

Si votre établissement ou votre district scolaire a un questionnaire de sécurité, ou si vous pensez avoir trouvé une vulnérabilité, écrivez à [email protected]. Indiquez les étapes pour reproduire le problème et n’accédez pas aux données d’autres personnes pendant vos tests.