Pas de promesses.
Une architecture vérifiable.

La plupart des SaaS vous demandent de leur faire confiance sur parole. Majordome vous donne les outils pour vérifier vous-même.

Le principe : couches indépendantes

Notre sécurité repose sur quatre couches qui se vérifient mutuellement. Aucune ne dépend de la confiance que vous nous accordez ; chacune est techniquement enforcée.

Couche 1 — Réseau

Votre serveur invisible

Votre VPS est protégé par Tailscale, un VPN maillé moderne. Le port SSH n'est pas accessible depuis l'internet public — uniquement depuis le réseau privé Tailscale dont vous et nous sommes membres.

Concrètement : si quelqu'un scanne votre adresse IP publique, il ne voit aucun port ouvert. Le pare-feu UFW est en mode deny-all par défaut, avec une seule règle d'autorisation pour SSH sur l'interface Tailscale.

Chiffrement en transit

TLS 1.3 obligatoire pour toute communication externe. Entre nos serveurs (par exemple votre VPS et notre Vault), nous utilisons mTLS (TLS bidirectionnel) avec certificats auto-signés vérifiés.

Couche 2 — Chiffrement disque

LUKS, le standard Linux

Tout votre disque est chiffré avec LUKS (Linux Unified Key Setup) en AES-256. Si quelqu'un vole physiquement le serveur ou son disque, il obtient un disque illisible.

La clé n'est pas sur le disque

Le point critique : la clé LUKS ne réside pas sur le serveur lui-même. Elle est stockée dans HashiCorp Vault, sur un serveur séparé. Au démarrage, votre VPS contacte le Vault via Tailscale (mTLS), récupère la clé, déverrouille le disque, puis efface la clé de la mémoire.

Conséquence pratique : si nos serveurs sont saisis sans le Vault, ou si le Vault est saisi sans le serveur, dans les deux cas l'attaquant n'a rien d'exploitable.

Couche 3 — Chiffrement base de données

SQLCipher au-dessus de SQLite

La base de données qui contient vos conversations, documents, messages, est chiffrée avec SQLCipher en AES-256, indépendamment du chiffrement disque. C'est une deuxième couche : même quelqu'un qui aurait un accès root au serveur (par exemple nous, en support) ne peut pas lire la base sans la clé applicative.

Vérification possible : ouvrir le fichier bridge.db avec sqlite3 standard renvoie l'erreur "file is not a database". Seul le moteur SQLCipher avec la bonne clé peut le lire.

Couche 4 — Audit logs immutables

Backblaze B2 Object Lock

Chaque action administrative sur votre VPS est journalisée puis envoyée vers Backblaze B2 avec Object Lock en mode Compliance. Ce mode rend les fichiers cryptographiquement immuables pendant la durée de rétention configurée (90 jours minimum chez nous) — nous ne pouvons pas les supprimer ni les modifier, même avec les credentials root du compte Backblaze.

Vous avez un token lecture

Pour les formules Intendance et au-delà, nous vous fournissons un token de lecture limité à votre tenant. Vous pouvez interroger l'API Backblaze à tout moment et voir en temps réel qui s'est connecté à votre serveur, à quelle heure, depuis quelle IP, et quelle commande a été exécutée.

Ce qu'on log, ce qu'on ne log PAS

On log : connexions SSH (qui, quand, durée), commandes sudo, accès Vault, déclencheurs de cron, dispatches du bridge (timestamp, identifiant de groupe hashé, latence).

On ne log JAMAIS : contenu de vos messages WhatsApp, contenu de vos documents, identifiants de personnes physiques en clair, données chiffrées par leur clé.

Différenciation par formule

Numéro bridge partagé (Essentiel) — la transparence sur le dispatcher

Pour la formule Essentiel, votre numéro bridge est partagé entre plusieurs clients Majordome. Un dispatcher technique route chaque message selon l'identifiant du groupe d'origine.

Garanties techniques du dispatcher

• Aucun stockage du contenu. Le dispatcher reçoit, route, oublie. Pas de queue persistante, pas de log de message.
• Logs metadata uniquement : timestamp, identifiant de groupe hashé (SHA-256), tenant cible, latence, statut.
• Routing déterministe : un message dans votre groupe ne peut techniquement aller que vers votre tenant. Vérifié par mapping en base de données.
• Code source vérifiable : hash SHA-256 du binaire publié sur cette page. Vous pouvez comparer avec ce qui tourne en prod.

Authentification & accès admin

• Authentification SSH par clé ed25519 uniquement, jamais de mot de passe
• MFA obligatoire sur tous les comptes admin (Vault, Backblaze, GitHub)
• Sessions admin tracées par IP, durée, commandes exécutées
• Rotation des clés SSH tous les 12 mois
• Aucun accès partagé : chaque opérateur a sa propre paire de clés

Backups

• Sauvegardes incrémentales nightly
• Chiffrées avec une clé propre au client (pas la nôtre)
• Rétention 30 jours par défaut, configurable
• Stockage : Backblaze B2 dans la région choisie par le client (US, EU, AS)
• Restauration testée mensuellement sur un VPS de test

Notification de violation

En cas d'incident de sécurité affectant vos données, nous vous notifions sous 72 heures conformément au RGPD article 33. Notre plan de réponse documente les rôles, les escalades, les communications obligatoires aux autorités (CNIL en France, équivalents nationaux ailleurs).

Conformité

Vérification continue

Pour les formules Intendance et au-delà, vous pouvez à tout moment :

• Demander une copie complète de votre Register of Processing Activities
• Auditer vos audit logs Backblaze via votre token lecture
• Recevoir un rapport hebdomadaire automatique des accès admin
• Demander la liste exhaustive des sous-traitants intervenant sur vos données
• Programmer un audit de sécurité externe à votre charge (nous facilitons l'accès)

Pour aller plus loin

• Politique de confidentialité complète
• Accord de Traitement de Données (DPA)
• Liste des sous-traitants (versionnée)
• security@trymajordome.com pour toute question technique