Ce que le logiciel fait sur votre réseau, ce qu'il chiffre, ce qu'il journalise
Cette page décrit des mécanismes, pas des intentions. Elle nomme aussi ce que chaque mécanisme ne protège pas : un dossier d'homologation qui repose sur une promesse invérifiable se retourne contre celui qui l'a écrite.
Le produit s'installe dans le périmètre que vous homologuez. Il ne dépend d'aucun service distant ni d'aucune activation en ligne pour fonctionner.
Ce qui circule, et ce qui sort
Deux listes, et la seconde est courte. Chaque ligne dit vers qui, quand, et ce qui est transmis.
À l’intérieur de votre réseau
| Flux | Vers | Protocole, et ce qu’il faut en savoir |
|---|---|---|
| Le navigateur des postes | votre serveur web | HTTPS, à l’intérieur de votre réseau. Le poste ne parle jamais directement au moteur : le serveur web est le seul à s’y adresser, et il le fait sur la boucle locale de la machine. |
| La collecte des tickets | vos PABX | Permanent, et interne à votre réseau. Le protocole dépend du constructeur : fichiers déposés, Telnet sur un port dédié, FTP, base de données, ou HTTP/HTTPS vers l’interface de programmation du standard. |
| Le pilotage du parc | vos PABX | HTTPS vers l’interface de programmation de chaque marque, à la demande. PBXInterface ne réplique pas les données de vos standards : il les lit quand on les regarde. |
Hors de votre réseau
| Flux | Vers | Quand, et ce qui est transmis |
|---|---|---|
| Envoi de courriels | votre serveur de messagerie | À l'envoi d'un état, d'une facture ou d'une alerte. La vérification du certificat du relais est paramétrable, et inactive par défaut — beaucoup de relais internes présentent un certificat auto-signé. |
| Vérification de version | comtrafic.com | Uniquement quand un utilisateur ouvre la fenêtre « À propos », ou presse la touche prévue. Aucun appel au démarrage, aucune minuterie. C'est une lecture d'un fichier XML statique : rien n'est transmis — ni identifiant de machine, ni numéro de licence, ni statistique d'usage. Délai d'attente d'une seconde, puis abandon. |
| Analyse assistée par IA | personne | Il n’y a pas d’assistant IA dans l’application, et donc aucun appel. Ce qui est livré, ce sont des documents : contrat de données, syntaxe, garde-fous, exemples — que vous collez dans votre propre outil d’IA, avec votre fournisseur et votre politique. Ils ne contiennent aucune donnée. Nous livrons la méthode, pas l’appel. |
| Annuaire, SSO, webhook | vos propres services | Si vous les configurez. Ce sont vos services : la dépendance, s'il y en a une, est la vôtre. |
Deux conséquences, dites franchement
La licence est un code local, lié à la machine, sans échange réseau : il n'y a pas d'activation en ligne, et le logiciel fonctionne entièrement sans accès à Internet. Bloquer la vérification de version au pare-feu ne coûte que l'affichage du numéro de la dernière version disponible — rien d'autre ne s'appuie dessus.
Une installation sans envoi de courriel et dont les PABX sont sur le réseau interne n'émet aucun flux hors de votre serveur. C'est vérifiable au pare-feu : c'est d'ailleurs la seule façon honnête de vérifier ce genre d'affirmation, et nous vous invitons à le faire.
Le produit évalue sa propre configuration
Plutôt que de parcourir les réglages un par un, vous demandez au produit où il est faible. Treize contrôles, évalués à chaque démarrage, avec leur seuil et le motif de ce seuil.
| Le contrôle | Ce qu’il regarde | Ce qui le fait tomber, et pourquoi |
|---|---|---|
| Gestion des utilisateurs bloquant | Est-elle activée ? | Inactive, l'anonyme est administrateur sur toute l'interface de programmation. C'est l'état normal d'une recette, jamais celui d'une mise en service. |
| Mots de passe en clair bloquant | Combien de comptes ont encore un mot de passe non haché. | Un seul suffit à faire tomber le contrôle. Si la base n'est pas ouverte, le résultat est non mesurable — on ne conclut pas. |
| Politique de mot de passe | La longueur minimale exigée. | Conforme à partir de 12 caractères ; entre 1 et 11, avertissement ; à 0, non conforme. |
| Verrouillage | Le nombre d'échecs avant blocage. | Conforme de 1 à 5. Au-delà, avertissement : le seuil existe mais laisse trop d'essais. À 0, le verrouillage est inactif — non conforme. |
| Durée d'une session | La validité du jeton, en heures. | Conforme jusqu'à 12 h ; jusqu'à 24 h, avertissement. Au-delà, un jeton volé reste exploitable un jour entier. |
| Conservation du journal | Combien de jours le journal des connexions est gardé. | Conforme à partir de 365 jours, ou à 0 qui vaut illimité. À partir de 90, avertissement ; en dessous, non conforme. |
| Transport chiffré bloquant | L'interface est-elle servie en HTTPS ? | Sans lui, le jeton et le mot de passe circulent en clair, et aucun fournisseur d'identité n'accepte un retour en HTTP. ⚠️ Non mesurable depuis l'application : le chiffrement se termine sur le serveur web — elle le dit plutôt que de l'affirmer à tort. |
| Interface d'écoute bloquant | L'interface de programmation écoute-t-elle la seule boucle locale ? | Ouverte sur le réseau, elle rend le serveur web contournable : en-têtes, politique de contenu, limitation de débit et chiffrement deviennent décoratifs. |
| Accès SQL de dépannage bloquant | Est-il fermé ? | Le mode sécurité durcie le ferme lui-même : le contrôle est conforme dès que ce mode est actif, quelle que soit la valeur du réglage. |
| Origines web autorisées bloquant | La liste est-elle restreinte ? | Une étoile laisse n'importe quel site interroger l'interface depuis le navigateur d'un de vos utilisateurs — et lire les réponses. |
| Clé de signature bloquant | Est-elle propre à cette installation ? | Une clé commune à toutes les installations est un jeton d'administrateur offert à qui connaît le binaire. Elle est générée au premier démarrage. |
| Authentification déléguée | Un fournisseur d'identité est-il raccordé ? | Ne pas l'utiliser n'est pas un défaut — d'où l'avertissement, jamais le refus. Mais c'est par elle que passe le second facteur : sans fournisseur d'identité, aucune authentification à deux facteurs n'est possible. |
| Export du journal | L'export vers votre collecteur fonctionne-t-il ? | ⚠️ Trois états, et non deux. Inactif : avertissement, c'est votre décision. Actif et sain : conforme. Actif mais en échec : non conforme — c'est le pire des cas, parce qu'on croit alors tracer sans tracer. |
Les sept contrôles marqués bloquants interdisent la mise en service dans un périmètre audité : leur échec n’est pas une recommandation. Les six autres se règlent selon votre politique.
Trois états, et le troisième est le plus important
Conforme · non conforme · non mesurable. Le dernier n'est pas une échappatoire : le chiffrement du transport se termine sur le serveur web, l'application ne peut donc pas savoir qu'elle est servie en HTTPS. Elle le dit, plutôt que de l'affirmer à tort.
Le rapport se lit dans l'écran Configuration, s'imprime seul sous une forme destinée à être jointe à un dossier, s'écrit dans le journal à chaque démarrage, et se récupère par l'API — réservé à l'administration : ce rapport est la carte des points faibles de l'installation.
Un réglage unique impose les planchers
| Réglage | Défaut | Mode sécurité durcie |
|---|---|---|
| Longueur minimale du mot de passe | 0 — seul le mot de passe vide est refusé | 12 caractères |
| Échecs avant verrouillage | 0 — inactif | 5 |
| Durée d'une session | 12 heures | 12 heures au plus |
| Conservation du journal | 90 jours | 365 jours au moins |
| Mot de passe stocké en clair | toléré — migration douce | n'authentifie plus |
| Accès SQL de dépannage | disponible | fermé |
Ce qu'il ne peut pas forcer, il le signale
Gestion des utilisateurs inactive, absence de HTTPS, origines non restreintes, écoute ouverte, comptes en clair : chacun remonte comme une alarme et apparaît au rapport de posture — plutôt que de fermer l'application en silence.
Hors mode durci, les défauts sont volontairement neutres : une mise à jour ne doit refuser aucun mot de passe existant ni verrouiller un exploitant qui se trompe de saisie.
Comptes, mots de passe, sessions
| Point | Mécanisme |
|---|---|
| Stockage des mots de passe | PBKDF2-HMAC-SHA256, sel propre à chaque compte, 120 000 itérations, comparaison à temps constant |
| Expiration périodique | volontairement absente — l'ANSSI comme le NIST la déconseillent : elle produit des mots de passe incrémentés, pas des mots de passe forts |
| Verrouillage | après N échecs, sur le couple compte + adresse IP, avec temporisation croissante. Verrouiller par compte seul offrirait un déni de service sur tout compte dont on connaît le nom |
| Limitation en amont | le serveur web plafonne la page de connexion à 10 requêtes par minute et par adresse, rafale de 5, au-delà : refus |
| Session | jeton signé, durée paramétrable de 1 à 168 heures, 12 par défaut |
| Révocation | un compte supprimé, désactivé, ou dont les droits changent, perd l'accès à la requête suivante — sans attendre l'expiration du jeton |
| Autorisation | fermée par défaut : une route inconnue est refusée, et les chemins ouverts forment une liste explicite. C'est l'inverse du réglage courant, où l'oubli d'une règle laisse une porte ouverte |
| Périmètre | site, service, poste : le périmètre limite ce qu'un compte voit dans les données, pas seulement dans les menus |
| Comptes de l’entreprise | connexion par votre annuaire (OpenID Connect : Entra ID, Google Workspace, Okta, Keycloak, ADFS). ⚠️ La déconnexion centralisée n’est pas assurée : fermer la session chez le fournisseur d’identité ne ferme pas celle-ci — c’est la révocation ci-dessus qui joue |
Le poste client ne parle jamais directement à l'API
C'est toute l'architecture attendue, et elle tient en une ligne : les postes s'adressent au serveur web, qui seul s'adresse à l'API.
| Point | Réglage |
|---|---|
| Écoute de l'API | boucle locale par défaut — l'API n'est pas joignable depuis le réseau |
| HTTPS | proposé à l'installation, avec redirection depuis le port 80 |
| Origines autorisées | liste blanche ; les identifiants ne traversent pas les origines |
| Jeton de session | cookie HttpOnly et SameSite=Strict : aucun script de la page ne peut le lire, et il n'est pas envoyé depuis un autre site |
| Politique de contenu | CSP active, sans unsafe-inline : aucun gestionnaire d'événement en ligne dans les pages |
| En-têtes | type de contenu, cadrage, référent, permissions ; la version du serveur n'est pas divulguée |
Ce que le chiffrement protège, et ce qu'il ne protège pas
Ce qui est chiffré
Clé de signature des jetons, mot de passe du serveur de messagerie, identifiants des PABX, secrets du raccordement à votre annuaire et des webhooks. Le mécanisme est celui de protection de données de Windows, à portée machine.
La limite, dite sans la contourner
Un fichier de configuration qui quitte la machine — sauvegarde, pièce jointe d'un ticket, copie de dossier, disque revendu — n'expose plus rien. Cela ne protège pas d'un administrateur de la machine ni d'un processus qui y tourne. Autrement dit : « plus en clair au repos », pas « inviolable en local ».
Deux conséquences d'exploitation
La clé de signature des jetons est propre à chaque installation et se génère au premier démarrage : ne recopiez pas le fichier de configuration d'un serveur vers un autre, les deux partageraient la même clé.
Un secret chiffré ne se déchiffre que sur la machine qui l'a produit. Déplacer une installation impose de ressaisir ces valeurs — le produit le trace, il n'échoue jamais en silence.
Le journal enregistre les actions, pas les lectures
Un journal noyé de consultations ne se relit jamais. Chaque entrée porte qui, quand, quoi : l'entité touchée, la cible et les valeurs changées.
Les valeurs sensibles sont masquées, la clé reste
« Le mot de passe a été changé » est un fait d'audit qui doit rester lisible — c'est souvent la question posée après coup. Retirer la clé effacerait le fait.
Export vers votre collecteur
Un fichier JSON par ligne, un par jour, horodaté en UTC, que votre agent suit comme n'importe quel journal. Aucune configuration réseau : ni port à ouvrir, ni certificat, ni file d'attente à tenir quand le collecteur ne répond pas.
L'écriture du fichier précède celle de la base
C'est quand la base est indisponible — ou vient d'être vidée — que la copie externe sert. La trace vit alors hors du système qui la produit, et survit à qui prendrait la main sur le serveur.
Et le contrôle de posture distingue trois cas, dont le troisième est le seul qui compte : export inactif (votre décision) · actif et sain · actif mais en échec, déclaré non conforme — parce qu'on croit alors tracer sans tracer.
Ce qui est scellé, ce qui est effacé
Documents scellés
Factures, reçus et états publiés portent l'empreinte SHA-256 du fichier réellement écrit, inscrite dans un registre en ajout seul où chaque ligne chaîne la précédente. Retirer, réordonner ou retoucher une ligne casse la chaîne, et la vérification désigne le rang de la rupture.
C'est un scellement d'intégrité chaîné, pas une signature électronique au sens réglementaire. L'attestation produite dit elle-même ce qu'elle ne prouve pas.
Deux masquages, dont un irréversible
Les quatre derniers chiffres des numéros externes peuvent être masqués à l'affichage et à l'export — réglage réversible —, ou effacés à l'acquisition, auquel cas ils n'entrent jamais en base.
Le second est plus fort qu'un chiffrement : ce qui n'a jamais été écrit ne se déchiffre pas.
L'effacement porte sur le lien, pas sur chaque occurrence d'un numéro
Ce qui rattache un appel à une personne, c'est la fiche de poste — elle seule porte le nom ; l'enregistrement d'appel, lui, ne connaît qu'un numéro. Supprimer un poste efface donc les données de son titulaire en une opération, et l'opération est journalisée : c'est ce qui fait la différence entre un effacement et une disparition.
Un numéro qui subsiste dans l'enregistrement d'un autre poste — appel de groupe, transfert, interception — ne désigne plus personne. Et ces enregistrements ne sont pas les siens : les effacer supprimerait les données d'un tiers. Un effacement excessif est une faute au même titre qu'un effacement manquant.
⚠️ Ce qui défait un effacement, c'est ce qui recrée le lien : une resynchronisation de l'annuaire depuis le PABX, si la source porte encore le nom. Une demande se traite donc des deux côtés — le pilote de collecte sait ne pas mettre à jour l'annuaire.
Ce qu'un auditeur trouvera, et que nous préférons écrire
Un fournisseur dont le questionnaire de sécurité ne contient aucun « non » ne l'a pas lu. Voici les nôtres, avec ce qu'on peut en faire.
| L'écart | Ce qu'il en est |
|---|---|
| La base n'est pas chiffrée au repos | Le chiffrement du support est délégué au système — BitLocker ou équivalent. C'est un choix, pas un oubli, et il se pose dans votre dossier comme tel. À mettre en regard : notre effacement irréversible des quatre derniers chiffres à l'acquisition est plus fort qu'un chiffrement réversible, parce que ce qui n'a jamais été écrit ne se déchiffre pas. C'est une réponse ; ce n'est pas une parité. |
| La gestion des utilisateurs est inactive par défaut | Tant qu'elle n'est pas activée, l'interface de programmation ne demande pas d'authentification. C'est l'état normal d'une recette, et le rapport de posture le signale en tête de liste — mais il faut l'activer avant d'ouvrir l'accès, et un audit le lira comme « ouvert par défaut ». La procédure de mise en service commence par là. |
| Les exports faits par le navigateur ne laissent pas de trace | Le journal couvre les exports produits par le serveur — c'est aussi eux que scelle le registre d'intégrité. Un export de grille rendu par le navigateur ne passe pas par le serveur : il n'est donc pas journalisé. Nous le nommons plutôt que de laisser croire que le journal couvre tout. |
| Les mots de passe anciens en clair sont tolérés | L'application n'en produit plus. Ceux qui subsistent viennent de bases antérieures ; le rapport de posture les compte, et le mode sécurité durcie les refuse à l'authentification. Le défaut reste tolérant pour qu'une mise à jour ne verrouille personne. |
| Les certificats des standards ne sont pas vérifiés | Côté pilotage du parc, la liaison HTTPS vers l’interface de programmation d’un PABX accepte le certificat sans le valider. C’est l’usage sur des équipements qui présentent presque tous un certificat auto-signé ; c’est aussi un défaut, sur un réseau interne où il faudrait supposer un attaquant. Il est consigné et suivi. |
| Effacement d'un résident : par délai, pas sur demande | L'effacement ciblé et journalisé existe pour un poste. Côté résidents d'établissement, seule l'épuration automatique agit, par délai après la date de départ. Une demande portant sur un résident parti récemment ne peut donc pas être honorée telle quelle aujourd'hui. |
Le critère qui structure le cadre 2026 n'est pas un label
C'est l'immunité au droit extra-européen : la question de savoir si un État étranger peut contraindre quelqu'un à livrer vos données. Elle ne se règle pas par la géographie d'un centre de données.
« Datacentre à Paris » ne suffit pas — et c'est écrit
Le référentiel de l'ANSSI traduit ce critère en exigences sur la localisation du siège social, la capitalisation, le recours à des sociétés tierces hors de l'Union, l'autonomie et l'indépendance aux ingérences. Un service hébergé en Europe mais opéré par une société soumise au droit d'un pays tiers ne satisfait pas le critère.
La même exigence porte sur la territorialité : stockage et traitement des données, annuaires des comptes d'administration et d'utilisateurs, journaux techniques — tout doit rester dans l'Union. C'est le genre de ligne qu'un RSSI répercute à ses fournisseurs, et à laquelle une installation chez vous répond trivialement.
Ce qui reste vrai, et qui ne dépend d'aucun label
Ce sont des logiciels qu'on installe, pas des services auxquels on s'abonne : ils tournent chez vous ou chez votre intégrateur, sur une infrastructure que vous maîtrisez. Aucune donnée ne transite par un tiers — nous n'exploitons aucun service. Et le pilotage du parc ne réplique pas les données de vos standards : il les lit à la demande.
Vous restez maître du lieu d'exécution
Chez vous, chez votre intégrateur, en France. L'éditeur est français, le logiciel s'exécute dans votre périmètre, et rien ne remonte à un tiers. Sur le critère qui structure le cadre 2026, nous répondons entièrement — et il n'est pas besoin de prononcer le nom d'une qualification pour le dire.
Homologation n'est pas qualification — et c'est là que ça se joue
L'homologation est votre démarche, sur votre système d'information. La qualification est celle d'une offre de service, portée par son prestataire. Le fait de tourner dans un périmètre qualifié allège votre dossier d'homologation ; il ne qualifie pas l'application qui y tourne, et il ne vous dispense pas de la démarche — vous demeurez responsable de la maîtrise de vos risques.
C'est la raison pour laquelle notre position tient en une phrase : le produit s'installe dans le périmètre que vous homologuez, quel qu'il soit — y compris une offre qualifiée — et n'y ajoute aucune dépendance à un éditeur tiers ni à une infrastructure étrangère.
Un point que nous ne tranchons pas
Si votre intégrateur héberge le mode Résidents pour un établissement de santé, devient-il hébergeur de données de santé au sens de l'article L.1111-8 du code de la santé publique ? Deux inconnues se cumulent : la nature exacte des données du mode Résidents, et le fait que le texte ne dit pas clairement s'il vise aussi l'hébergement interne.
Nous ne répondons pas à votre place. Ce point relève de votre analyse juridique, et nous vous donnons ce dont vous avez besoin pour la mener. Une affirmation confortable ici serait corrigée devant témoins.
Ce que nous ne sommes pas
Se tromper de texte devant un DSI se voit tout de suite, et coûte le reste de l'entretien. Nous préférons l'écrire.
| Ce qu'on nous prête | Ce qu'il en est |
|---|---|
| « Certifié HDS » | Nous ne le sommes pas, et nous ne pouvons pas l'être : la certification HDS porte sur l'activité d'hébergement de données de santé pour le compte d'un tiers, pas sur un logiciel livré à qui l'exploite lui-même. Si vous hébergez vous-même, la question ne se pose pas dans les mêmes termes. |
| « Qualifié SecNumCloud » | Ce qui se qualifie, c'est une offre de service d'informatique en nuage. Nos produits n'en sont pas une : vous les installez et vous les exploitez. Il n'y a donc rien à qualifier — et c'est un choix d'architecture, pas une lacune. La qualification, par ailleurs, ne se transmet pas. |
| « Le décret impose SecNumCloud aux hôpitaux » | Non. Le champ du décret n° 2026-272 — vérifié article par article — est : administrations de l'État, opérateurs de l'État et six groupements nommés. Ni les hôpitaux, ni les collectivités. Et il exige la conformité à un référentiel de l'ANSSI attestée par une qualification ou par une certification européenne d'un niveau au moins équivalent. |
La formulation que nous tenons, et que nous ne dépassons jamais
« Le produit s'installe dans le périmètre que vous homologuez, quel qu'il soit, et n'y ajoute aucune dépendance à un éditeur tiers ni à une infrastructure étrangère. Il ne résout pas votre conformité : il ne vous crée pas de problème supplémentaire. »
Vous restez maître du lieu d'exécution : chez vous, chez votre intégrateur, en France. Aucune donnée ne transite par nos serveurs — nous n'en exploitons pas.
⚠️ Et la limite de cette phrase, puisqu’elle existe : nous garantissons que le logiciel n’appelle aucun service tiers. Ce que vous faites de vos exports vous appartient — coller un export dans un outil d’IA en ligne relève de votre politique, pas de la nôtre. Écrire « aucune donnée ne sort de votre système » serait donc faux, et nous ne l’écrivons pas.
Un questionnaire de sécurité à remplir ?
Envoyez-le. Nous répondons point par point, en signalant les cases où la réponse est « non » — elles existent, et un fournisseur qui n'en a aucune n'a pas lu le questionnaire.
Réponse sous 4 heures ouvrées · le rapport de posture de votre installation se produit en une commande