Sécurité

1. Hébergement et chiffrement

QR Wait fonctionne sur le réseau de Cloudflare (Workers et Durable Objects) et y stocke ses données. Chaque connexion est chiffrée en HTTPS (TLS), et les navigateurs reçoivent l'instruction de n'utiliser que HTTPS sur qrwait.app et tous ses sous-domaines (HSTS, un an).

Les pages appliquent une politique de sécurité du contenu (CSP) stricte : les scripts ne se chargent que depuis QR Wait et Cloudflare, et aucun autre site ne peut afficher QR Wait dans un cadre.

Cloudflare indique détenir des validations ISO/IEC 27001, ISO/IEC 27701 et ISO/IEC 27018 (Cloudflare Trust Hub). Ce sont celles de Cloudflare ; QR Wait n'a aucune certification propre.

2. Comptes et connexion

• Les mots de passe ne sont stockés que sous forme de hachage PBKDF2-SHA-256 salé. Un nouveau mot de passe figurant dans des fuites de données connues est refusé ; pour cette vérification, seuls les 5 premiers caractères de son hachage SHA-1 quittent QR Wait (k-anonymat).
• Connexion en deux étapes avec une application d'authentification (TOTP) et des codes de récupération à usage unique. Les propriétaires voient quels membres de l'équipe l'ont activée.
• Les membres de l'équipe ont un rôle (propriétaire, responsable ou agent) et, s'ils sont limités, n'ouvrent que les files qui leur ont été attribuées.
• Après 5 échecs de connexion à un compte en 24 heures, la connexion exige aussi une vérification anti-robot (Cloudflare Turnstile).
• Un e-mail est envoyé lorsque le compte est ouvert depuis un nouveau navigateur.
• Une session prend fin après 14 jours sans utilisation ; changer le mot de passe ou « Déconnecter les autres appareils » met fin à toutes les autres.
• Les liens de vérification, de réinitialisation du mot de passe et d'invitation sont à usage unique, et seuls leurs hachages sont conservés.

3. Limites de requêtes

Les requêtes sont limitées par adresse IP en bordure du réseau Cloudflare : connexion, inscription et réinitialisation du mot de passe 10 par minute, entrée dans une file 60 par minute, l'API REST 120 par minute par clé et 120 par minute par adresse IP.

4. Données des visiteurs

• On ne demande jamais aux visiteurs un numéro de téléphone ni une adresse e-mail. Un nom n'est demandé que si l'établissement l'active pour la file.
• Un ticket, avec le nom et les réponses au formulaire qu'il contient, est supprimé au plus tard 24 heures après l'entrée dans la file, quels que soient les réglages de la file.
• Aucune position n'est conservée. Lorsqu'une file vérifie la position, seuls la distance jusqu'à la file et le moment de la mesure sont gardés avec le ticket.
• Le QR code affiché sur l'écran de l'agent change toutes les 15 à 75 secondes et chaque code reste valable 1 à 5 minutes : une photo partagée ailleurs ne fait entrer personne.
• Ce que font les agents dans le panneau est journalisé pendant 30 jours ; les liens d'agent peuvent être retirés à tout moment.

5. Sauvegardes

Ce qui ne peut pas être reconstitué (comptes, réglages des files, soldes de tickets) est exporté chaque jour vers Cloudflare R2 et chiffré avant d'être écrit : chaque partie avec sa propre clé AES-256-GCM, elle-même chiffrée avec une clé publique (RSA-OAEP). La clé privée qui les ouvre est conservée hors ligne. Les exports sont conservés 35 jours.

Les tickets ne figurent jamais dans une sauvegarde : ils contiennent des noms de visiteurs et ne vivent qu'une journée au plus.

6. Intégrations

• Les webhooks sont signés avec un secret affiché une seule fois (HMAC-SHA256 horodaté) et ne partent que vers des adresses https publiques. Ils ne contiennent que des numéros et des heures, sauf si l'établissement autorise les noms pour une adresse.
• Les clés d'API sont affichées une fois et stockées uniquement sous forme de hachage SHA-256. Une clé ne fait que lire ou écrit aussi, et peut être révoquée à tout moment.
• Détails pour les développeurs : la référence de l'API et des webhooks (en anglais).

7. Sous-traitants

Ces entreprises traitent des données pour le compte de QR Wait afin de faire fonctionner le service :

Les notifications du navigateur passent par le service push du navigateur du visiteur. La manière dont les données quittent la Turquie et l'UE est expliquée dans la politique de confidentialité.

8. Signaler une vulnérabilité

Écrivez à hello@qrwait.app avec l'objet « Security ». Nous accusons réception sous 3 jours ouvrés et envoyons une première évaluation sous 10 jours ouvrés. Merci de ne pas divulguer le problème avant sa correction et de ne tester qu'avec vos propres comptes et files.

Nous n'engagerons pas de poursuites contre une recherche menée de bonne foi dans le respect de ces règles. Il n'y a pas de programme de récompense rémunéré. Le même contact, lisible par machine : security.txt.