[ Sécurité ]
La sécurité se construit dès le premier jour, pas à la fin.
Dexon conçoit et opère des logiciels pour des secteurs exigeants. Cette page décrit, sans jargon, ce que nous faisons concrètement pour protéger vos applications et vos données : les étapes, les standards et les outils. Une base de discussion pour vos équipes sécurité, avant même le premier rendez-vous.
- Approche
- Secure by Design · DevSecOps
- Chiffrement
- TLS 1.3 en transit · AES-256 au repos
- Accès
- MFA · moindre privilège · IAM
- Continuité
- Sauvegardes · PRA / PCA
- Conformité
- RGPD
- Mise à jour
- 2026
[ Méthodologie ]
Six étapes, du cadrage à l'exploitation.
La sécurité n'est pas un audit posé en fin de projet. Elle suit le cycle de vie du logiciel : chaque étape a ses contrôles, et chaque contrôle laisse une trace.
- 01
Cadrage
Identification des données manipulées et de leur sensibilité, des menaces réalistes et des obligations réglementaires. Les exigences de sécurité entrent dans le cahier des charges.
- 02
Conception
Secure by Design : architecture, flux de données, segmentation des environnements et droits d'accès sont décidés avant d'écrire la première ligne de code.
- 03
Développement
Revue de code systématique avant fusion, secrets jamais stockés dans le code, dépendances open-source choisies et suivies.
- 04
Intégration & livraison
CI/CD sécurisée : tests automatisés, analyse des vulnérabilités et des dépendances à chaque build, déploiements tracés et réversibles.
- 05
Tests de sécurité
Tests de sécurité intégrés à la recette, et pentests lorsque la criticité du projet le justifie, avant la mise en production.
- 06
Exploitation
Monitoring, alerting et journalisation en production. Les vulnérabilités découvertes après livraison sont qualifiées puis corrigées.
[ Standards techniques ]
Ce qui est appliqué, concrètement.
Des règles simples, vérifiables, appliquées par défaut sur nos projets. Elles sont précisées et adaptées avec vous au cadrage, selon votre contexte et vos propres politiques.
- 01ChiffrementTLS 1.3 pour les données en transit, AES-256 pour les données au repos.
- 02Authentification forteMFA sur les accès d'administration, les outils de développement et les consoles cloud.
- 03Politique IAMComptes nominatifs, principe du moindre privilège, droits revus régulièrement et révoqués au départ d'un intervenant.
- 04Gestion des secretsClés et mots de passe dans un coffre dédié, jamais dans le code, les tickets ou les messageries.
- 05Segmentation des environnementsDéveloppement, recette et production isolés. Pas de données de production réelles hors production sans anonymisation.
- 06Hébergement cloudFournisseurs reconnus, localisation des données choisie avec vous selon vos contraintes.
- 07Journalisation & traçabilitéJournaux centralisés, actions sensibles tracées : qui a fait quoi, quand.
- 08Gestion des vulnérabilitésVeille sur les failles publiées, correctifs priorisés selon leur gravité et leur exposition réelle.
[ Supply chain ]
Les dépendances, un risque à part entière.
Une application moderne embarque des centaines de bibliothèques open-source. Chacune est une porte d'entrée potentielle : nous les traitons comme telles.
- Inventaire des dépendances de chaque projet
- Alertes automatiques sur les vulnérabilités connues
- Versions verrouillées pour des builds reproductibles
- Mises à jour régulières plutôt qu'en urgence
- Évaluation d'une bibliothèque avant son ajout
[ Code & tests ]
Aucun code n'arrive en production sans relecture.
La revue de code est notre premier filtre de sécurité. Les tests automatisés et la recette font le reste.
- Revue de code par un pair avant chaque fusion
- Analyse automatique du code dans la chaîne CI/CD
- Tests de sécurité intégrés à la recette
- Pentests avant mise en production quand la criticité le justifie
- Correctifs de sécurité traités en priorité
[ Exploitation ]
Détecter, réagir, reprendre.
Un incident se prépare avant qu'il arrive. En production, nous surveillons, nous savons qui intervient et comment l'activité redémarre.
Les objectifs de reprise (durée d'interruption et perte de données acceptables) sont définis avec vous, projet par projet.
- 01Monitoring & alertingDisponibilité, performances et anomalies surveillées, avec des alertes qui arrivent aux bonnes personnes.
- 02ObservabilitéErreurs applicatives remontées en temps réel (Sentry) pour diagnostiquer vite, avant que l'utilisateur ne signale le problème.
- 03Gestion des incidentsQualification, confinement, correction, puis retour d'expérience documenté.
- 04SauvegardesAutomatisées, chiffrées, stockées séparément de la production. La restauration est testée, pas seulement supposée.
- 05PRA / PCAPlans de reprise et de continuité d'activité documentés pour les applications critiques.
[ Données & RGPD ]
Vos données restent les vôtres.
La conformité RGPD n'est pas un bandeau cookies. Elle se traite dans l'architecture et dans les contrats.
- Minimisation : ne collecter que ce qui est nécessaire
- Durées de conservation définies et appliquées
- Encadrement contractuel de la sous-traitance des données
- Droits des personnes pris en compte dès la conception
- Accès aux données de production limités et tracés
[ Politique IA interne ]
L'IA, avec des règles.
Nos équipes utilisent des outils d'IA pour gagner en productivité, dans un cadre défini.
- Aucune donnée client confiée à un outil d'IA sans accord
- Outils d'IA validés en interne, pas d'usage libre
- Code généré relu et testé comme tout autre code
- Décisions d'architecture et de sécurité prises par des humains
Aucun système n'est invulnérable, et nous ne le prétendons pas. Notre engagement porte sur les moyens : des pratiques documentées, vérifiables par vos équipes, et un plan clair quand un incident survient.
[ En résumé ]
La sécurité n'est pas une option ajoutée à la fin. C'est une façon de construire.