Durcissement en 12 points + résidence des données en Suisse

L’agent tourne sous un compte dédié, non privilégié et sans droits sudo, pour qu’une compromission ne puisse pas prendre le contrôle de la machine.

Pare-feu en deny-by-default ; seuls les ports strictement nécessaires sont ouverts, tout le reste est fermé.

Connexion par mot de passe désactivée, authentification par clé uniquement, fail2ban bannit les IP après tentatives répétées.

Tout le trafic chiffré en transit avec certificats valides et renouvellement auto ; aucun point d’accès en clair.

Clés API et jetons dans un coffre chiffré, jamais en clair dans des fichiers .env ou le code source.

Chaque clé et intégration reçoit la portée la plus étroite nécessaire ; un jeton fuité a un impact minimal.

Application automatique des correctifs pour maintenir l’OS et les dépendances à jour sans intervention.

L’agent s’exécute dans un conteneur ou une VM dédié et isolé, séparé des autres charges et de l’hôte.

Sauvegardes régulières, chiffrées et hors instance pour restaurer vite, et les restaurations sont testées.

Actions, accès et événements clés journalisés pour la traçabilité, l’analyse d’incident et la responsabilité.

Des limites de débit protègent l’agent et ses API contre les abus, boucles incontrôlées et attaques par force brute.

Traitement et stockage restent dans la juridiction suisse/UE ; aucune donnée n’est expédiée vers des régions tierces.

Le serveur reste à votre nom : vous gardez la propriété et le contrôle de l’infrastructure et des données, de bout en bout.