HodeiShield®

Ce qui protège vos données, et ce que nous ne promettons pas.

Votre DPO et votre auditeur vont demander où se trouve chaque chose et ce qui est certifié. Cette page répond avec toute la nuance, y compris le fournisseur américain présent sur le chemin de la requête.

Demander une démoVoir les sous-traitants ultérieurs (s’ouvre dans un nouvel onglet)
  • Certifié ENS (catégorie Moyenne), n° 34/5704/26/09103, OCA Instituto de Certificación, et ISO/IEC 27001 · Hodeitek S.L. ; le périmètre inclut le service SaaS HodeiShield.
  • Sécurité de la plateforme alignée sur l’OWASP ASVS, sans certification.
Fiche de sécurité
Hébergement
OVH, Gravelines (France, UE)
Sur le chemin
Cloudflare (États-Unis) : DNS, CDN et TLS
Mots de passe
Stockés avec un algorithme conçu pour résister aux attaques par force brute
Double facteur
Codes temporaires, passkeys et SSO ; votre organisation peut l’exiger
Secrets
Identifiants et secrets chiffrés
Isolation
Chaque client ne voit que ses données ; c’est la base de données elle-même qui l’applique
Audit
Journal d’audit immuable
Référence
Alignée sur l’OWASP ASVS (non certifiée)
Détail technique
  • Mots de passe : hash Argon2id.
  • Double facteur : TOTP, passkeys et SSO.
  • Secrets : chiffrement AES-256-GCM.
  • Isolation : sécurité au niveau des lignes forcée (RLS avec FORCE) dans PostgreSQL.

Faits sur la plateforme, sans chiffres de disponibilité ni labels.

Où vivent vos données et qui en répond

L’infrastructure et les données sont hébergées dans l’UE. Cloudflare, américain, est sur le chemin de chaque requête. Les deux sont vrais à la fois.

Chemin d’une requête

  1. Votre organisation

    Navigateur, CLI ou agent d’endpoint

    Origine de la requête

  2. Cloudflare

    DNS, CDN et TLS

    Entreprise américaine

  3. OVH

    Application, base de données et stockage gérés

    Gravelines, France (UE)

OVH héberge l’application, la base de données et le stockage. Cloudflare assure le DNS, le CDN et le TLS, de sorte que le trafic vers la plateforme passe par son réseau.

Ce qui est dans l’UE

L’application, la base de données et le stockage d’objets, chez OVH Gravelines. L’IA du copilote est fournie par Mistral AI ; nous n’indiquons pas sa région de traitement.

Docs · Sous-traitants ultérieurs (s’ouvre dans un nouvel onglet)

Ce que nous ne pouvons pas dire

Nous ne disons pas qu’aucune donnée ne touche une infrastructure américaine ni que la plateforme est exempte de fournisseurs américains : Cloudflare est sur le chemin. Si cela conditionne votre analyse de risque, posez-nous la question avant la démo.

Architecture de la plateforme

Comment la plateforme est protégée

Des contrôles que la console met en œuvre aujourd’hui, expliqués par ce qu’ils garantissent. Le nom technique exact figure dans chaque « Détail technique ». Le cadre de référence est l’OWASP ASVS : la plateforme y est alignée, non certifiée.

Identifiants et accès

Qui entre et avec quelles garanties.

  • Les mots de passe sont stockés avec un algorithme conçu pour résister aux attaques par force brute.
  • Double facteur avec codes temporaires, passkeys et accès unique (SSO).
  • Le double facteur est facultatif par défaut et un administrateur peut l’exiger par politique de l’organisation.

Portée: L’exiger est une décision de votre administrateur : il n’est pas imposé.

Détail technique
  • Mots de passe : hash Argon2id.
  • Double facteur : TOTP, passkeys et SSO.

Secrets et identifiants chiffrés

Les identifiants d’intégration et les secrets du double facteur sont stockés chiffrés.

  • Les secrets des webhooks ne s’affichent qu’une seule fois, à leur création.
Détail technique
  • Chiffrement : AES-256-GCM.

Isolation entre organisations

Chaque client ne voit que ses propres données : l’isolation est appliquée par la base de données elle-même, pas seulement par l’application.

  • Les jetons de l’API, du CLI et du MCP couvrent une seule organisation, celle que vous choisissez en accordant l’accès.
Détail technique
  • Chaque requête passe par le contexte du locataire.
  • PostgreSQL applique la sécurité au niveau des lignes forcée (RLS avec FORCE).

Traçabilité

Un journal d’audit immuable de l’activité de la plateforme et un journal des actions d’ACT qui dit qui a fait quoi.

  • Dans le journal des actions, on ne fait qu’ajouter des entrées, chacune est chaînée à la précédente et elles sont signées par lots : chacun peut le vérifier avec la clé publique.

Portée: Les signatures post-quantiques (ML-DSA-65) protègent les attestations et le journal des actions. Elles ne chiffrent pas le trafic en direct.

Détail technique
  • Journal d’actions en ajout seul, chaîné par hash et signé par lots avec ML-DSA-65, vérifiable avec la clé publique.
  • ML-DSA-65 (FIPS 204) est une signature post-quantique.

Ce qui arrive à vos données quand vous utilisez HodeiAI

Le copilote envoie du contenu à un fournisseur d’IA. Voici les limites exactes de ce traitement.

Ce qui est pseudonymisé

Avant l’envoi, HodeiShield remplace par des marqueurs les données personnelles qu’il reconnaît.

  • E-mails, téléphones, pièces d’identité, IBAN et noms des utilisateurs de votre organisation et des contacts de fournisseurs.
  • La table qui relie marqueur et valeur n’existe qu’en mémoire pendant la requête.

Portée: Les noms de personnes qui ne sont ni utilisateurs ni contacts de fournisseurs de votre organisation ne sont pas reconnus et sont envoyés tels quels. Le contenu lui-même (par exemple le nom d’un fournisseur) peut décrire votre activité. Cela s’applique à HodeiAI et au RSSI virtuel. L’analyse de risque du scan des fournisseurs ne pseudonymise pas : elle envoie le domaine du fournisseur et les constats. Cet appel n’est fait que si HodeiAI est activé pour votre organisation.

Combien de temps c’est conservé et qui le contrôle

Les conversations sont conservées 90 jours au maximum, puis supprimées automatiquement.

  • Un administrateur peut désactiver HodeiAI ; quand il est éteint, Mistral AI n’est pas appelé pour cette organisation.
  • Il n’agit jamais sans votre confirmation explicite.

Portée: Il interroge les données vivantes de votre organisation au moyen d’outils ; ce n’est pas un système RAG.

Certifications : ENS et ISO/IEC 27001, avec HodeiShield dans le périmètre

Nous le disons tel quel pour qu’il n’y ait rien à deviner lors de l’audit.

Hodeitek S.L., l’entreprise

Ce que nous n’affirmons pas

  • Ni certifier votre conformité ni CPSTICHodeiShield mesure votre posture, ne certifie pas votre conformité, et ne figure pas au catalogue CPSTIC, qui est autre chose. Sa sécurité est alignée sur l’OWASP ASVS, sans certification.

Label ECSO « Cybersecurity Made in Europe »

Hodeitek détient le label, qui exprime une origine européenne autodéclarée. Il n’équivaut pas à une certification. Hodeitek figure aussi au catalogue de l’INCIBE, qui est un répertoire et non une accréditation.

Ce qui n’est pas garanti

Ce que quelqu’un pourrait tenir pour acquis et qui ne l’est pas.

  1. Qu’aucune donnée ne passe par les États-Unis

    Cloudflare, entreprise américaine, assure le DNS, le CDN et le TLS sur le chemin de la requête.

  2. Que nous certifiions votre conformité

    Les certifications ISO/IEC 27001 et ENS catégorie Moyenne de Hodeitek S.L. incluent HodeiShield dans leur périmètre, mais HodeiShield ne certifie pas la conformité de votre organisation. L’alignement sur l’OWASP ASVS n’est pas une certification.

  3. Que le double facteur soit actif

    Il est facultatif par défaut. C’est la politique de votre organisation qui l’active ou l’exige.

  4. Qu’une attestation démontre la conformité

    Elle prouve l’intégrité, l’origine et le moment de ce qui est signé. Elle ne prouve pas que ce soit vrai et il n’existe pas de registre public de transparence. Les clés de signature sont stockées comme secrets de la plateforme, pas dans un module de sécurité matériel (HSM).

  5. Que HodeiAI ne voie aucune donnée personnelle

    Il pseudonymise ce qu’il reconnaît, et ce qu’il ne reconnaît pas est envoyé tel qu’écrit.

  6. Chiffres de disponibilité

    Nous ne publions ni SLA ni indicateurs de disponibilité sur ce site.

Divulgation responsable

Si vous pensez avoir trouvé une vulnérabilité, écrivez-nous avant de la rendre publique.

security@hodeitek.com

C’est le canal de Hodeitek pour les questions de sécurité. Nous ne proposons pas d’e-mail chiffré.

  1. Signalez-la en privé : via le signalement privé de vulnérabilités de GitHub sur le dépôt public du produit concerné (hodeishield-cli ou hodeishield-attest-verifier), ou par e-mail à security@hodeitek.com. Le site, la console et l’agent n’ont pas de dépôt public : pour eux, utilisez l’e-mail.
  2. Indiquez l’URL, le locataire ou le produit et la version concernés, les étapes pour la reproduire, l’impact que vous observez et un moyen de vous contacter. N’incluez jamais de véritable clé d’API ni de véritable jeton.
  3. Nous accusons réception, vous tenons informé pendant l’analyse et convenons avec vous de la date de publication.

Dans le périmètre

  • hodeishield.com et www.hodeishield.com.
  • app.hodeishield.com, uniquement si vous participez à la bêta et dans votre propre locataire ou espace de travail.
  • L’agent HodeiShield. Il n’a pas de dépôt public : signalez par e-mail.
  • L’outil en ligne de commande (hodeishield-cli), dans son dépôt public.
  • Le vérificateur d’attestations (hodeishield-attest-verifier), dans son dépôt public.

Hors périmètre

  • Déni de service et tests de charge.
  • Ingénierie sociale et attaques physiques.
  • Services tiers (Cloudflare, Turnstile, balises d’analyse).
  • Résultats de scanners automatiques sans impact démontré.
  • En-têtes absents sans exploitation possible.
  • Spam dans les formulaires.

Règles

  • Utilisez uniquement vos propres comptes.
  • N’accédez pas aux données d’autres personnes, ne les modifiez pas et ne les conservez pas.
  • Si vous voyez des données exposées, arrêtez-vous à la première et prévenez-nous.
  • Ne dégradez pas le service et ne nuisez pas à ses utilisateurs.
  • Nous n’engagerons aucune action en justice pour une recherche de bonne foi qui respecte cette politique.

Délais cibles de réponse et de correction

Accusé de réception et première évaluation en jours ouvrés ; tous les autres délais en jours calendaires. Les objectifs de correction visent la publication d’une version corrigée, comptés à partir de la première évaluation. Ce sont les délais que nous visons, pas un SLA.

Accusé de réception
3 jours ouvrés
Première évaluation
10 jours ouvrés
Points d’avancement
Au moins tous les 14 jours
Objectif de correction, critique
7 jours
Objectif de correction, élevée
30 jours
Objectif de correction, moyenne
90 jours
Objectif de correction, faible
Dans la prochaine version
Divulgation coordonnée
90 jours à compter de votre signalement ; nous pouvons publier plus tôt si la vulnérabilité est activement exploitée

Nous ne proposons pas de récompense financière. Si vous nous y autorisez, nous vous remercions publiquement.

Confiance : où se trouve chaque document

Un index de ce que vous pouvez demander ou vérifier avant de contracter. Chaque lien mène au texte en vigueur, pas à un résumé.

Certifications

Hodeitek S.L. est certifiée ISO/IEC 27001 et ENS, catégorie Moyenne (certificat n° 34/5704/26/09103), avec le service SaaS HodeiShield dans le périmètre. Ce que nous ne certifions pas figure dans la même section.

Trust Center

HodeiShield n’a pas de portail de confiance public qui lui soit propre. Le Trust Center est une fonction de la console avec laquelle chaque client publie le sien ; elle se gère dans la console, après connexion.

Plus de détail

Questions de DPO et d’audit

Celles qui reviennent le plus, avec la réponse qui résiste à une revue.

Les données sortent-elles de l’UE ?

L’application, la base de données et le stockage sont chez OVH Gravelines (France). Cloudflare, entreprise américaine, assure le DNS, le CDN et le TLS sur le chemin de la requête, nous ne pouvons donc pas promettre qu’aucune donnée ne touche une infrastructure américaine.

HodeiShield est-il certifié ISO 27001 ou ENS ?

Oui. Hodeitek S.L. est certifiée ISO/IEC 27001 et ENS catégorie Moyenne (certificat n° 34/5704/26/09103, délivré par OCA Instituto de Certificación), avec un périmètre qui inclut le service SaaS HodeiShield. Cela ne certifie pas la conformité de votre organisation, et le catalogue CPSTIC est autre chose, que nous ne revendiquons pas.

Que signifie « aligné sur l’OWASP ASVS » ?

Que les contrôles de sécurité de la plateforme ont été conçus en prenant l’ASVS comme référence. Ce n’est pas une certification et aucun tiers ne l’émet.

HodeiAI envoie-t-il des données personnelles à un tiers ?

Il envoie du contenu à Mistral AI. Il pseudonymise auparavant les données personnelles qu’il reconnaît (e-mails, téléphones, pièces d’identité, IBAN et noms de vos utilisateurs et contacts), mais pas celles qu’il ne reconnaît pas. L’analyse de risque du scan des fournisseurs ne pseudonymise pas : elle envoie le domaine du fournisseur et les constats. Un administrateur peut l’éteindre.

Comment signaler une vulnérabilité ?

Écrivez à security@hodeitek.com en indiquant l’URL ou le locataire concerné, les étapes pour la reproduire, l’impact et un moyen de vous contacter. Le périmètre, les règles et les délais indicatifs figurent dans la section de divulgation responsable de cette page.

Passez ces points en revue avec votre DPO

Si votre analyse de risque a besoin de plus de détail, nous le voyons pendant la démo avec qui vous voudrez.

Un échange de travail, sans engagement.

Demander une démoVoir les sous-traitants ultérieurs (s’ouvre dans un nouvel onglet)