Ce que votre DSI voudra lire avant de nous parler.
Cadres suivis
- OWASP Top 102021
- Applications web : le site, le formulaire de contact, l’administration. Chaque contrôle est rattaché à une catégorie du Top 10.
- OWASP API Security Top 102023
- Routes internes, routes de la démonstration, routes de l’administration : autorisation objet par objet, limites de débit, inventaire des routes.
- OWASP Top 10 for LLM Applications2025
- La démonstration vivante et la veille des Signaux : injection de prompt directe et indirecte, traitement des sorties, fuite d’informations, chaîne d’approvisionnement, consommation non bornée.
- OWASP Top 10 for Agentic Applications2025, première édition
- Les systèmes d’agents livrés aux clients : détournement d’objectif, abus d’outils, actions irréversibles, mémoire empoisonnée.
- MITRE ATLAS2025
- Menaces propres aux modèles : extraction, évasion, empoisonnement, épuisement de ressources. Référence de nos revues de menaces côté modèle.
Modèle de menaces, surface par surface
Cinq surfaces, chacune avec ses menaces et ses contrôles, selon la méthode STRIDE. Les actifs protégés : les demandes de contact, les chiffres publiés, les Signaux en attente de validation, les clés du modèle, la session d’administration.
Formulaire de contact
Menaces
Injection, robots, remplissage massif, scripts intersites, usurpation d’expéditeur dans l’accusé de réception, collecte au-delà du nécessaire.
Contrôles en place
- Cinq champs, validés et typés côté serveur
- requêtes paramétrées
- jeton anti-CSRF
- limite de débit par adresse et par jour
- consentement horodaté
- accusé de réception envoyé depuis un domaine authentifié (SPF, DKIM, DMARC)
- aucun contenu du formulaire repris sans échappement
Démonstration vivante
Menaces
Injection de prompt, détournement vers un autre usage, exfiltration des instructions, épuisement du budget, saisie de données personnelles de tiers, sortie malveillante affichée.
Contrôles en place
- Entrée bornée en longueur et filtrée avant le modèle
- séparation stricte entre instructions et contenu
- le modèle n’a aucun outil : il ne navigue pas, n’écrit pas, n’envoie pas, ne paie pas
- sortie validée par schéma avant affichage
- refus propres pour le hors sujet et les tentatives d’injection
- mention IA en première ligne
- limites par adresse et par jour
- budget mensuel plafonné avec dégradation gracieuse
- aucune entrée conservée sans consentement
Administration
Menaces
Vol de session, force brute, élévation de privilèges, publication non autorisée, injection via un contenu affiché, modification des chiffres publiés.
Contrôles en place
- Authentification forte avec second facteur
- autorisation vérifiée côté serveur à chaque action
- sessions courtes
- journal d’audit de chaque publication et modification
- contenus affichés échappés et isolés
- aucune publication sans validation humaine tracée
Veille et Signaux
Menaces
Injection indirecte par une page web lue par la veille, brouillon hostile qui agit sur l’écran de validation, contenu faux publié, étiquetage manquant.
Contrôles en place
- Toute page lue par la veille est une donnée non fiable, filtrée avant le modèle
- navigation sortante limitée à une liste d’hôtes autorisés
- brouillons mis en file, jamais publiés automatiquement
- rendu des brouillons sans exécution de contenu
- mention « préparé avec l’aide d’une IA, relu par la maison » sur chaque Signal publié
E-mails sortants
Menaces
Usurpation du domaine, envoi non sollicité, fuite de données dans un message, lien piégé.
Contrôles en place
- Domaine authentifié (SPF, DKIM, DMARC en rejet)
- envoi uniquement en réponse à une action du visiteur ou avec son consentement
- aucune prospection sans base légale
- contenu minimal
- liens vers notre seul domaine
- désinscription et suppression sur simple demande
Ce que nous faisons de vos données
Minimisation
Le formulaire demande cinq champs : nom, e-mail, entreprise, pays, sujet. La démonstration ne conserve rien sans votre accord ; sans accord, seul un journal technique anonymisé (empreinte d’adresse, coût, latence, verdict du filtre) est gardé trente jours.
Hébergement
Les données des visiteurs et des clients européens sont traitées et stockées dans l’Union européenne : base de données en région Francfort, fonctions serveur en région Francfort. Chiffrement en transit et au repos.
Transferts
L’accès par les personnes de la maison depuis Israël est un transfert couvert par la décision d’adéquation de la Commission européenne (décision 2011/61/UE, confirmée par le rapport du 15 janvier 2024). Les transferts vers des sous-traitants aux États-Unis reposent sur les clauses contractuelles types et, le cas échéant, le cadre de protection des données UE-États-Unis.
Conservation et effacement
Une demande de contact est conservée vingt-quatre mois après le dernier échange, puis supprimée. Les journaux techniques sont conservés trente jours. Toute demande d’accès, de rectification ou d’effacement adressée à hello@elahadvisory.ai est traitée sous un mois.
Sous-traitants
Vercel (hébergement et fonctions serveur), Neon (base de données Postgres, région Union européenne), Anthropic (modèle de la démonstration et de la veille, sans conservation à des fins d’entraînement), un fournisseur d’e-mail transactionnel pour les accusés de réception. La mesure d’audience, sans cookie, est faite par le site lui-même dans sa base de l’Union européenne. Chacun est lié par un accord de traitement des données.
Conformité par pays
- France
- RGPD : base légale par traitement, registre, droits des personnes, autorité de contrôle CNIL. Prospection : article L.34-5 du Code des postes et des communications électroniques, consentement préalable des personnes physiques, information et droit d’opposition en B2B. Mentions légales : article 6-III de la loi pour la confiance dans l’économie numérique. Transparence IA : article 50 du règlement européen sur l’intelligence artificielle, applicable depuis le 2 août 2026.
- Espagne
- RGPD et loi organique 3/2018 (LOPDGDD), autorité de contrôle AEPD. Communications commerciales : article 21 de la loi 34/2002 (LSSI), consentement préalable sauf relation contractuelle antérieure pour des produits similaires. Mentions légales : article 10 de la LSSI. Transparence IA : article 50 du règlement européen sur l’intelligence artificielle.
- Israël
- Loi sur la protection de la vie privée 5741-1981, telle qu’amendée par l’amendement 13 en vigueur depuis le 14 août 2025 : définitions alignées sur le RGPD, obligations de notification pour les données sensibles à grande échelle, délégué à la protection des données quand l’activité l’exige, pouvoirs de sanction renforcés de l’Autorité de protection de la vie privée. Règlement sur la sécurité des données 5777-2017. Envois : article 30A de la loi sur les communications, consentement écrit préalable, mention « publicité » obligatoire.
Signaler une vulnérabilité
Si vous trouvez une faille sur ce site ou dans un système que nous exploitons, écrivez-nous avec l’objet « Sécurité » : description, étapes de reproduction, impact estimé. Nous accusons réception sous soixante-douze heures, nous vous tenons informé de la correction, et nous n’engageons aucune action contre une recherche menée de bonne foi, sans exfiltration de données ni interruption de service. Un fichier security.txt est publié à la racine du site.