Sécurité

Mots de passe et connexion

• Les mots de passe ne sont jamais enregistrés en clair : seule leur empreinte bcrypt (coût 12) est conservée, et elle ne permet pas de retrouver le mot de passe.
• Un mot de passe compte au moins 8 caractères, et les mots de passe les plus courants sont refusés.
• Connexion : au plus 10 tentatives par identifiant en 15 minutes, et blocage de 15 minutes après 5 mots de passe faux.
• Le mot de passe provisoire remis à un membre du personnel doit être changé à sa première connexion.
• Changer ou réinitialiser un mot de passe ferme les sessions ouvertes sur les autres appareils.

Sessions

• Le jeton d’accès expire au bout de 15 minutes et se renouvelle tout seul ; après 7 jours sans utilisation, il faut se reconnecter.
• Ces jetons sont rangés dans des cookies que les scripts de la page ne peuvent pas lire (httpOnly), transmis uniquement en HTTPS (Secure) et retenus quand un autre site tente d’agir en votre nom (SameSite=Lax).
• Une fois connecté, chaque action qui modifie des données exige en plus un jeton anti-falsification (CSRF), vérifié par le serveur.

Accès aux données

• Chaque établissement ne voit que ses propres données : à chaque requête, le serveur vérifie que le compte connecté en fait partie.
• Droits de chaque rôle vérifiés par le serveur, pas seulement par l’écran.
• Le dossier médical d’un patient n’est ouvert qu’à son médecin attitré.
• Un compte désactivé par le directeur perd l’accès aussitôt.

Fichiers et radios

• Les images envoyées sont contrôlées d’après leur contenu réel, pas seulement leur nom.
• Les radios dentaires sont stockées en accès privé et ne s’affichent que par un lien temporaire de 5 minutes, réservé au praticien attitré.
• Aucun document médical publié par un lien public.

Sur le réseau et sur l’appareil

• Le serveur demande aux navigateurs de n’utiliser que des connexions chiffrées (HTTPS), pour 2 ans (en-tête HSTS).
• Les pages ne peuvent pas être affichées à l’intérieur d’un autre site, ce qui empêche de piéger un clic.
• Le mode hors ligne ne garde sur l’appareil que ce que le serveur a envoyé pour le rôle connecté ; cette copie est effacée à la déconnexion ou quand un autre compte se connecte.
• Le service worker, qui fait fonctionner l’application sans réseau, ne met jamais en cache les réponses qui contiennent des données de patients.

Équipe Sahilley

• Chaque modification faite par l’équipe Sahilley dans ses outils d’administration est enregistrée dans un journal (qui, quoi, quand).
• Ces outils d’administration n’affichent pas les dossiers médicaux.

Ce que nous ne faisons pas encore

Pour être transparents, voici ce qui n’est pas encore en place :

• Pas de double vérification à la connexion (code par SMS ou par application).
• Pas encore de procédure de sauvegarde et de restauration testée.
• Pas de certification de sécurité ni d’audit par un organisme extérieur.
• La copie gardée sur l’appareil pour le mode hors ligne n’est pas chiffrée par l’application : le code de verrouillage de l’appareil reste indispensable.

Signaler une faille

Vous pensez avoir trouvé une faille de sécurité ? Écrivez à ⁦contact@sahilley.com⁩ ou contactez-nous au ⁦+235 66 05 01 57⁩ (appel ou WhatsApp).