Sécurité

Cette page décrit la protection des données confiées à CrawlBit, un service exploité par MindoLabs LLC, société à responsabilité limitée immatriculée dans le Wyoming, aux États-Unis. Elle présente les dispositifs actuellement en place et précise leurs limites.

1. Données conservées par CrawlBit

Un compte contient votre adresse email, une empreinte de mot de passe, les sites que vous auditez et les résultats de ces audits. Si vous utilisez les fonctions agence, il contient aussi les noms et domaines des clients que vous ajoutez, et l’habillage que vous définissez pour leurs rapports.

Les noms et domaines des clients sont les données les plus sensibles du système, parce que ce sont vos informations commerciales et non les nôtres. Seul le compte qui les a créés peut les lire.

2. Chiffrement

Tout le trafic passe en HTTPS. Le service envoie l’en-tête HTTP Strict Transport Security avec une durée d’un an : un navigateur qui a vu le site une fois refuse de s’y connecter en HTTP simple.

Les données au repos sont sur des disques chiffrés chez Render, notre hébergeur, et leurs instantanés quotidiens sont chiffrés eux aussi. Le chiffrement applicatif de champs individuels de la base n’est pas en place.

3. Mots de passe et sessions

Les mots de passe sont hachés avec scrypt et un sel aléatoire propre à chaque compte. Le mot de passe en clair n’est jamais stocké ni journalisé. La comparaison des empreintes s’effectue en temps constant.

Une session expire 7 jours après la connexion. Ce délai est absolu : se reconnecter ouvre une nouvelle session, et utiliser le produit tous les jours ne prolonge pas une session existante. Le cookie de session est HttpOnly, Secure, et porte le préfixe __Host- : un script ne peut pas le lire, et un navigateur ne l’envoie qu’en HTTPS à cet hôte précis.

La connexion avec Google utilise le flux par code d’autorisation, le code étant échangé de serveur à serveur.

4. Cloisonnement entre comptes

Chaque donnée qui appartient à un compte porte l’identifiant de ce compte, et chaque route qui lit une donnée par son identifiant vérifie son propriétaire avant de la renvoyer. Des tests automatisés le couvrent pour les sites surveillés, les prompts suivis et les clients agence.

Les requêtes à la base utilisent partout des paramètres liés : une valeur que vous saisissez ne peut pas changer la forme d’une requête. Le serveur n’exécute aucune commande shell.

5. Rapports clients partagés

Un rapport en marque blanche est servi depuis un lien contenant un jeton aléatoire de 96 bits. Le lien n’est listé nulle part, et robots.txt l’exclut de l’indexation.

Deux limites sont à connaître avant d’en envoyer un à un client. Le lien n’expire pas, et il n’existe aucun moyen de révoquer un seul lien, sauf à supprimer le compte. Toute personne qui détient le lien peut ouvrir le rapport. Traitez-le comme un lien de document partagé.

6. Paiements

Les données de carte n’arrivent jamais chez CrawlBit. Le paiement se fait chez Stripe, et le service n’enregistre que l’identifiant client Stripe et ce qui a été acheté. Les notifications de paiement entrantes sont vérifiées par signature avant d’être appliquées ; une notification qui ne peut pas être vérifiée est refusée plutôt qu’acceptée.

7. Sous-traitants

Ces prestataires traitent des données pour notre compte :

• Render (États-Unis) héberge l’application et sa base de données.
• Cloudflare (États-Unis) fournit le DNS de notre domaine et achemine les emails entrants vers notre adresse de support. Le TLS est terminé chez notre hébergeur.
• Stripe (États-Unis) traite les paiements.
• Resend (États-Unis) envoie les emails transactionnels et les rapports.
• Anthropic, OpenAI, Perplexity et Google répondent aux questions utilisées pour mesurer les citations. Ils reçoivent les questions et le domaine mesuré.

Les moteurs de réponse reçoivent un nom de domaine et une question. Ils ne reçoivent ni l’email de votre compte, ni votre liste de clients, ni aucune autre donnée de compte.

8. Conservation et suppression des données

Vous pouvez exporter les données de votre compte et le supprimer depuis l’écran des paramètres, sans rien nous demander.

Supprimer un compte efface la fiche du compte, ses sessions, ses sites surveillés, ses prompts suivis, ses alertes, ses audits, ses résultats de citation, ses clients agence, ses liens de rapports partagés, ses rapports enregistrés, et tout contact marketing enregistré à la même adresse. Les lignes portant votre adresse sont aussi retirées du journal d’utilisation du serveur.

Une donnée survit à la suppression : un achat effectué. Une vente est un document comptable, et le RGPD permet de conserver les données nécessaires au respect d’une obligation légale. Elle contient l’identifiant du paiement, l’adresse qui a payé et ce qui a été acheté.

9. Sauvegardes

Render prend un instantané du disque chaque jour, et les instantanés sont conservés au moins sept jours. Restaurer un instantané restaure toute la base : c’est un mécanisme de reprise, pas de restauration compte par compte.

10. Signaler une vulnérabilité

Signalez la vulnérabilité à support@crawlbit.app. Cette adresse figure aussi dans security.txt. Décrivez le problème et les étapes pour le reproduire. Nous ne proposons pas de récompense financière pour ces signalements.

11. Limites des garanties de sécurité

CrawlBit ne détient aucune certification de sécurité. Il n’y a ni rapport SOC 2 ni certificat ISO 27001, et cette page n’est pas un audit réalisé par un tiers. MindoLabs LLC, c’est une personne : il n’y a donc pas d’équipe de sécurité distincte ni d’astreinte.

Le service a fait sa première revue de sécurité complète le 14 septembre 2026. Elle a trouvé cinq défauts, tous corrigés et mis en ligne le jour même. Deux se trouvaient dans des documents que le produit envoie, l’un permettait à un tiers de désabonner un compte qui n’était pas le sien, l’un autorisait un type de lien dangereux dans un rapport partagé, et l’un concernait la façon dont le contenu de pages tierces était transmis aux moteurs de réponse.

S’il vous faut un accord de traitement des données ou un accord de confidentialité signé avant d’envoyer des données client, demandez-le à support@crawlbit.app.