Sécurité et données
Vos données de licence restent sur votre serveur.
L'édition managée n'est pas ouverte. Aujourd'hui, Paperkey tourne sur une infrastructure que vous contrôlez, à partir d'un code sous licence MIT que vous pouvez lire. Cette page liste ce qui est vrai aujourd'hui, rien de plus.
- Conçu à Paris
- Licence MIT
- Aucun cookie sur ce site
- Aucun appel vers nos serveurs
Localisation des données
Où vivent les données de licence.
Avec l'édition auto-hébergée, les licences, les activations et les e-mails de vos clients sont stockés dans la base Postgres de votre serveur, dans la région de votre choix. Rien ne nous est envoyé.
- Aucune télémétrie, aucun appel vers nos serveurs dans le code.
- Postgres reste sur un réseau Docker interne, jamais exposé.
- Les sauvegardes sont à vous : le guide fournit un cron pg_dump, la copie hors serveur reste à votre main.
- Export par produit en JSON ou en CSV, depuis le dashboard ou l'API.
Ce site
Une adresse e-mail, si vous la donnez.
Ce site ne dépose aucun cookie et ne charge ni outil de mesure d'audience ni traceur tiers. La seule donnée personnelle qu'il traite est l'adresse que vous laissez sur la liste d'attente.
- Liste d'attente : votre adresse e-mail, avec la date et la preuve de votre consentement (double opt-in).
- Un seul usage : vous prévenir quand l'édition managée ouvrira. Chaque e-mail contient un lien de désinscription.
- Votre préférence clair/sombre est gardée dans le localStorage de votre navigateur et n'est envoyée nulle part.
- Le détail figure dans la politique de confidentialité.
Prestataires
Qui traite les données de la liste d'attente.
La liste d'attente tourne sur une instance listmonk auto-hébergée. Deux prestataires interviennent, tous deux dans l'UE. Pas de prestataire de paiement, pas de suivi d'erreurs, pas de mesure d'audience.
- Hetzner Online GmbH Helsinki, Finlande
Serveur qui héberge la liste d'attente (listmonk auto-hébergé)
- OVH SAS France
Envoi des e-mails de la liste (SMTP de paperkey.dev)
Secrets et authentification
Ce que le code fait des secrets.
Tout ceci se vérifie dans le dépôt.
- Les clés secrètes d'API sont affichées une seule fois, à la création. Seul un hash scrypt est stocké.
- Les mots de passe sont hachés avec bcrypt. Un leurre temporel fait payer le même coût aux e-mails inconnus, le temps de réponse ne révèle donc pas les comptes.
- Les webhooks sont signés en HMAC-SHA-256 (en-tête X-Paperkey-Signature). Le secret est affiché une fois et jamais renvoyé par l'API.
- Les sessions du dashboard utilisent un cookie httpOnly, Secure, SameSite=Lax.
- La recette d'auto-hébergement place Caddy en frontal : TLS Let's Encrypt, HTTP/2 et HTTP/3, en-têtes de sécurité.
Contrôle d'accès
Le moindre privilège, dans le code.
Les règles d'autorisation vivent dans l'API et sont couvertes par des tests d'intégration.
- Double authentification (TOTP) optionnelle, avec codes de secours.
- Contrôle de propriété sur chaque route authentifiée, testé à chaque modification.
- Limitation de débit par IP, plus stricte sur les routes d'authentification.
- Rôles d'équipe : owner, admin, viewer. Le rôle viewer est en lecture seule.
- Les actions qui modifient l'état sont inscrites dans un journal d'audit.
Modèle de menace
Ce que la validation de licence protège, et ce qu'elle ne protège pas.
On vous donne la limite pour que vous ajoutiez la bonne protection par-dessus.
- Côté serveur : le plafond d'activations par licence est appliqué, les licences révoquées ou expirées sont refusées, et le SDK ne met jamais un verdict négatif en cache.
- De votre côté : signer votre binaire et protéger le point d'appel. La validation serveur ne peut rien contre un binaire modifié pour sauter validate().
- Ce n'est pas un DRM : Paperkey n'empêche ni la rétro-ingénierie ni la manipulation mémoire. Ajoutez une signature de code si votre modèle de menace exige de l'anti-tamper.
Signaler une faille
Vous avez trouvé un problème de sécurité ?
Écrivez à hello@paperkey.dev avec les détails. Laissez-nous un délai raisonnable avant toute publication. Les correctifs arrivent dans le dépôt public.
Liste honnête
Ce qu'on ne revendique pas.
Un fournisseur de licences qui exagère sa posture est un risque.
- Pas de service managé, donc pas de SLA, pas de status page, pas d'historique d'incidents.
- Pas de SOC 2, pas d'ISO 27001, pas d'audit externe.
- Pas de périmètre PCI. Paperkey ne traite aucune carte bancaire.
- Pas de badge « trusted by », pas de logos clients.
Une question de sécurité ?
Écrivez à un humain, ou ouvrez une issue sur GitHub.
L'édition managée n'est pas encore ouverte
Laissez votre adresse pour être prévenu de son ouverture, sans date promise. L'édition self-host, elle, tourne dès aujourd'hui sous licence MIT.