Sécurité

Les vendeurs confient à ExperShip leurs données d’expédition, les adresses de leurs clients et l’accès à leurs comptes transporteurs. Cette page explique comment nous protégeons ces données et comment nous prévenir si vous trouvez un problème de sécurité sur notre site, notre application ou notre API.

Notre approche

Notre approche de la sécurité est pragmatique : collecter uniquement les données nécessaires pour expédier vos commandes, les protéger en transit et au stockage, limiter qui peut y accéder et corriger rapidement les problèmes que nous trouvons. Nous ne revendiquons aucune certification de sécurité que nous ne détenons pas. Si vous avez besoin de détails pour un audit de sécurité, contactez-nous.

Protection des données

• Chiffrement en transit. Le trafic entre votre navigateur ou votre code et ExperShip est chiffré avec TLS (HTTPS).
• Chiffrement au repos. Nos bases de données, notre stockage de fichiers et nos sauvegardes sont chiffrés au repos.
• Minimisation des données. Nous collectons les données d’expédition, de douane et de compte nécessaires pour fournir le service. Notre Politique de confidentialité indique ce que nous collectons et pourquoi.

Infrastructure

L’application ExperShip, l’API et ce site web fonctionnent sur Amazon Web Services (AWS) dans la région US East (N. Virginia) ; les données clients sont donc stockées aux États-Unis. AWS assure la sécurité physique, la protection du réseau et les contrôles des centres de données de l’infrastructure sur laquelle nous construisons.

Sécurité du compte

• Mots de passe. Nous stockons les mots de passe uniquement sous forme de hachages salés, jamais en clair. Personne chez ExperShip ne peut voir votre mot de passe.
• Authentification à deux facteurs. L’authentification à deux facteurs (2FA) pour les comptes ExperShip figure sur notre feuille de route. En attendant, un mot de passe unique et robuste reste votre meilleure protection.
• Votre rôle. Utilisez un mot de passe unique et robuste, et ne partagez pas vos identifiants avec d’autres membres de votre équipe ; donnez à chacun son propre accès lorsque l’application le permet.

Sécurité de l’API

L’API ExperShip s’authentifie avec des clés d’API. Pour protéger votre compte :

• Gardez vos clés d’API secrètes. Stockez-les sur votre serveur, jamais dans du code côté navigateur, des applications mobiles ou des dépôts publics.
• Renouvelez immédiatement une clé si vous pensez qu’elle a été exposée, et renouvelez vos clés régulièrement par habitude.
• Appelez l’API uniquement en HTTPS.

ExperShip vous fournit des clés d’API de test et de production distinctes, pour développer et tester sans créer de vrais envois. Vous pouvez renouveler vos clés vous-même depuis le tableau de bord, l’API applique des limites de débit pour protéger le service contre les abus, et les webhooks sont signés pour que votre serveur puisse vérifier qu’un événement provient bien d’ExperShip avant d’agir.

Paiements

Les données de carte sont traitées par notre prestataire de paiement. Nous ne stockons pas de numéros de carte complets sur les systèmes d’ExperShip.

Contrôle des accès

L’accès aux systèmes de production et aux données clients est limité aux personnes qui en ont besoin pour leur fonction, et il est retiré lorsqu’il n’est plus nécessaire.

Sauvegardes et gestion des incidents

Nous sauvegardons régulièrement les données clients afin de pouvoir les restaurer en cas de problème. Si un incident de sécurité touche vos données, nous enquêtons, le maîtrisons et informons les clients concernés comme la loi l’exige.

Si vous pensez que votre compte ExperShip a été compromis, changez votre mot de passe, renouvelez vos clés d’API et écrivez à info@expership.com sans attendre.

Sous-traitants

Nous faisons appel à un petit nombre de prestataires pour faire fonctionner ExperShip, comme l’hébergement cloud, l’envoi d’e-mails et le traitement des paiements. Les catégories de prestataires et les données qu’ils reçoivent sont listées dans la section Comment vos informations sont partagées de notre Politique de confidentialité.

Politique de divulgation des vulnérabilités

Les signalements des chercheurs en sécurité et des clients sont les bienvenus. Si vous trouvez une vulnérabilité, prévenez-nous en privé afin que nous puissions la corriger avant qu’elle ne soit exploitée.

Périmètre

• expership.com et www.expership.com
• app.expership.com
• L’API ExperShip

Hors périmètre : les services tiers que nous utilisons (par exemple les transporteurs, notre hébergeur ou notre prestataire de paiement), qui ont leurs propres programmes de divulgation, et les signalements sans impact sur la sécurité, comme l’absence d’en-têtes de bonnes pratiques sans exploit fonctionnel.

Comment signaler

Écrivez à info@expership.com avec l’objet « Security report ». Merci d’indiquer :

• Une description du problème et de l’impact que vous lui attribuez.
• L’URL, l’endpoint ou la fonctionnalité concernés.
• Des étapes claires pour le reproduire, avec des captures d’écran ou une courte preuve de concept si vous en avez une.
• Comment vous joindre pour d’éventuelles questions.

Nos engagements

Si vous signalez de bonne foi et respectez les règles ci-dessous, nous nous engageons à :

• Accuser réception de votre signalement et vous indiquer que nous l’examinons.
• Vous tenir informé pendant que nous enquêtons et corrigeons le problème.
• Ne pas engager de poursuites contre vous pour des recherches de sécurité conformes à cette politique.

Règles à respecter

• N’accédez pas à des données qui ne vous appartiennent pas, ne les modifiez pas et ne les supprimez pas au-delà du strict nécessaire pour démontrer le problème. Si vous atteignez des données personnelles, arrêtez-vous et prévenez-nous.
• N’effectuez pas de tests de déni de service ni rien qui dégrade le service pour les autres.
• Pas d’ingénierie sociale ni d’hameçonnage visant le personnel ou les clients d’ExperShip.
• Pas d’attaques physiques contre des bureaux, des centres de données ou des personnes.
• Utilisez uniquement des comptes qui vous appartiennent ou que vous êtes autorisé à utiliser.
• Laissez-nous un délai raisonnable pour corriger le problème avant toute divulgation publique, et convenez du calendrier avec nous.

Nous ne proposons pas de programme de bug bounty rémunéré pour le moment.