Sécurité chez Snago

Paiements

Tous les paiements passent par Stripe, certifié PCI-DSS niveau 1 (le plus strict).

• Les numéros de carte ne transitent jamais par les serveurs Snago. Le formulaire de paiement est servi directement par Stripe.
• On ne stocke aucune donnée bancaire. On reçoit seulement un identifiant opaque de transaction.
• Les paiements vers vendeurs utilisent Stripe Connect avec transfer_data.destination: l'argent va directement du client au vendeur, Snago ne le touche pas. C'est la configuration recommandée par l'ACPR pour les plateformes de mise en relation.
• 3-D Secure obligatoire pour toutes les transactions au-dessus de 30 €.

Hébergement & données

Données stockées exclusivement en Union européenne sur des infrastructures certifiées ISO 27001 et conformes RGPD.

• Base de données : Supabase (Frankfurt, Allemagne) sur infrastructure AWS UE.
• Hébergement applicatif : Vercel avec rendu en région cdg1 (Paris).
• Vidéo live : LiveKit Cloud, serveurs SFU UE.
• Emails transactionnels : Resend (UE).
• Stockage médias : Supabase Storage, même région.

Aucun transfert de données vers des sous-traitants hors UE sans clause type RGPD contractuelle (en pratique : aucun pour les données utilisateur).

Cloisonnement & accès

Chaque utilisateur ne peut voir que ses propres données. Les accès sont vérifiés au niveau de la base, pas au niveau applicatif.

• Row Level Security (RLS) PostgreSQLactivé sur toutes les tables sensibles. Une requête mal écrite côté app ne peut pas exposer les données d'un autre utilisateur : la base refuse, point.
• Les opérations critiques (transitions de paiement, statuts de commandes, transferts portfolio) passent par des fonctions PostgreSQL atomiques avec verrous. Pas de race condition exploitable côté API.
• Les actions admin sont tracées dans un journal d'audit (qui a modifié quoi, quand, depuis quelle IP).
• Authentification par NextAuth (OAuth Discord + Google) avec sessions HTTP-only. Pas de stockage de mot de passe chez nous : on délègue.

Ce qu'on ne fait pas (transparence)

Pour rester honnête, voici ce que Snago ne fait pas, contrairement à certaines promesses qu'on voit ailleurs :

• Pas de chiffrement bout-en-boutni « zero-knowledge ». Tes messages, ta collection et tes commandes sont stockés en clair pour qu'on puisse opérer la plateforme (support, modération, anti-fraude). Le chiffrement est appliqué au transport (TLS 1.3) et au repos (AES-256 côté Supabase) mais pas au contenu.
• Pas de seed phraseni clé privée à protéger. Si tu perds l'accès à ton compte OAuth, on peut t'aider à le récupérer via le support — au prix d'une vérification d'identité raisonnable.
• Pas de promesse exagérée type « chiffrement militaire ». On utilise les standards industriels du web (TLS, JWT, OAuth, RLS, PCI-DSS via Stripe). Ces standards font le job pour 99 % des menaces réelles.

Signaler une vulnérabilité

Tu as trouvé une faille ? Écris-nous à security@snago.fr avant toute divulgation publique. On répond sous 72 h ouvrées.

Pas de programme bug bounty officiel pour l'instant, mais on remercie publiquement (avec ton accord) les rapporteurs sérieux.