[ SÉCURITÉ ]
Vous nous confiez
les clés. Voici comment
nous les gardons.
Connecter vos comptes sociaux à un outil, quel qu’il soit, est un acte de confiance. Cette page dit exactement sur quoi repose cette confiance chez Echoia, en mécanismes plutôt qu’en adjectifs, y compris la partie que la plupart des pages de sécurité omettent : ce que nous ne prétendons pas.
Nous ne voyons jamais vos mots de passe
La connexion d’un compte social se fait sur la page de connexion de la plateforme elle-même, via OAuth. Vous saisissez votre mot de passe chez Instagram, TikTok ou LinkedIn, jamais chez Echoia, et la plateforme nous remet un jeton d’accès limité aux autorisations affichées sur son écran de consentement. La seule exception est Bluesky, qui fonctionne par conception avec des mots de passe d’application : vous créez un mot de passe d’application dédié dans les réglages de Bluesky, il est distinct de votre vrai mot de passe, et vous pouvez le révoquer à tout moment depuis ces mêmes réglages.
Les jetons sont chiffrés au repos
Les jetons d’accès sont les clés de vos comptes : ils sont donc stockés chiffrés en AES-256-GCM, et déchiffrés uniquement au moment où un appel d’API en a besoin. Les sessions de connexion et le trafic passent par TLS. Votre propre mot de passe Echoia, si vous en utilisez un plutôt que la connexion avec Google, est stocké sous forme d’empreinte salée : nous ne pourrions pas le lire même si nous le voulions.
Révoquer l’accès tient en un clic, d’un côté comme de l’autre
Déconnectez un compte dans Echoia, et ses jetons disparaissent. Révoquez Echoia depuis les paramètres de sécurité de la plateforme, et notre jeton cesse aussitôt de fonctionner, quel que soit l’état de votre compte Echoia. La connexion elle-même ne vous rend jamais captif.
Vos données sont hébergées dans l’Union européenne
La base de données de production et l’hébergement de l’application sont situés dans l’UE (Francfort), la mesure d’audience est hébergée dans l’UE, et chaque sous-traitant est nommé dans la politique de confidentialité, avec ce que chacun voit. Vous pouvez exporter depuis vos réglages tout ce que nous détenons sur vous, et supprimer vous-même votre compte : la désactivation est immédiate, l’effacement intervient après un délai de grâce de 30 jours.
L’IA fonctionne avec l’entraînement désactivé
Les requêtes adressées aux fournisseurs d’IA sont envoyées avec la conservation des données et l’entraînement explicitement désactivés. Vos publications, commentaires et messages sont traités pour répondre à votre demande et ne servent à entraîner aucun modèle. Les fonctionnalités d’IA sont toutes facultatives.
Les clés d’API ont un périmètre, vérifié à chaque appel
Les clés de l’API, de la CLI et du serveur MCP portent des périmètres explicites : lecture, écriture et programmation, publication, réponse. Chacun est vérifié à chaque appel, les outils hors périmètre sont masqués plutôt que simplement refusés, et une clé révoquée cesse de fonctionner dès la requête suivante. Une clé ne peut jamais toucher à la facturation, aux membres de l’équipe, ni aux espaces de travail pour lesquels elle n’a pas été créée. Les détails sont dans la documentation développeur (en anglais).
L’hygiène web de base, vérifiable de l’extérieur
Une Content-Security-Policy stricte, HSTS, X-Frame-Options et le reste des en-têtes sont en place sur le produit et vérifiables depuis n’importe quel terminal. Des limites de débit protègent les routes d’authentification. La signature des contenus de webhooks est vérifiée. Rien de tout cela n’est exotique ; l’important, c’est que ce soit réellement en place.
Ce que nous ne prétendons pas
Echoia ne détient aujourd’hui aucune certification SOC 2 ni ISO 27001 : ces audits coûtent plus qu’un jeune produit autofinancé ne peut le justifier, et laisser croire le contraire avec des badges de façade serait pire que de le dire franchement. Ce que nous proposons à la place, c’est cette page, une politique de confidentialité qui nomme chaque sous-traitant, et un fondateur à qui vous pouvez écrire directement. Si votre organisation exige des fournisseurs certifiés, nous préférons vous le dire maintenant plutôt qu’après la mise en route.
Vous avez trouvé une faille ?
Si vous pensez avoir découvert une vulnérabilité, écrivez à contact@echoia.io avec suffisamment de détails pour la reproduire. Les signalements arrivent directement à la personne qui a écrit le code, les réponses viennent vite, et une recherche menée de bonne foi sur votre propre compte ne fera jamais l’objet de menaces juridiques.