Avonao is in restricted beta. At sign up or sign in, you have to provide the beta tester password you received or request one at preview@avonao.com. Thank you.
Chargement…
Trust Center
Vérifiable
Une confiance à vérifier, pas seulement à lire.
Avonao ID est le compte unique qui connecte les personnes aux plateformes Avonao et à chaque application qui propose Sign in with Avonao ID. Cette page explique comment cela fonctionne, ce que nous protégeons et comment, où vivent vos données et quels sont nos engagements. Chaque point renvoie au document qui l’engage.
Les jetons d’identité sont signés avec des clés ES256 qui font l’objet d’une rotation une fois âgées de 90 jours. Les clés publiques sont publiées ; les clés privées sont stockées chiffrées.
Chaque connexion suit le même chemin. La personne est vérifiée au service d’entrée, la requête est traitée dans la région qui détient ses données, et le jeton est signé avec une clé publiée que chacun peut utiliser pour vérifier.
Authentifier
La personne se connecte avec une clé d’accès (passkey), un lien ou un code envoyé par e-mail, ou avec Google, Microsoft ou GitHub. Il n’y a aucun mot de passe. Les jetons de session, les jetons de lien et les codes ne sont stockés que sous forme de hachages SHA-256.
Acheminer vers la région
La région est lue dans la requête elle-même, dans le cookie de session ou dans le préfixe du jeton. Le service d’entrée transmet la requête au service propre à cette région avec un en-tête de saut signé, et le service régional refuse toute requête sans en-tête valide.
Consentement et enregistrement
La personne voit l’écran de consentement de l’application et n’autorise que les périmètres (scopes) qu’elle choisit. L’application reçoit un identifiant privé pairwise, la personne reçoit un reçu de données, et la connexion est inscrite dans son propre journal de sécurité, dans sa région.
Signer
Le jeton d’identité est signé avec la clé ES256 active. Les codes d’autorisation durent 60 secondes et les jetons d’identité 5 minutes. Les clés privées sont stockées chiffrées, sous une clé qui ne se trouve pas dans la base de données.
02
Portée de la preuve
Ce que prouve une connexion, et ce qu’elle ne prouve pas.
Un jeton signé est une déclaration précise et étroite. Lisez les deux colonnes avant de vous y fier, et avant d’y faire se fier quelqu’un d’autre.
Un jeton valide prouve
L’origine : le détenteur d’une clé de signature d’Avonao ID a signé exactement ces claims.
L’intégrité : rien dans le jeton n’a changé depuis, pas même un caractère.
L’audience et l’heure : le jeton a été émis pour votre application, à un moment que notre horloge indiquait, et il est valide jusqu’à son expiration.
03
Clés publiques
Les clés de signature et où les trouver
Un seul émetteur, https://id.avonao.com, signe pour les sept régions avec des clés ES256 (P-256). Leurs moitiés publiques sont publiées ouvertement ; les moitiés privées sont stockées chiffrées dans la base de données d’origine.
Garde
Les clés sont générées par le service de connexion. Chaque clé privée n’est stockée que chiffrée avec AES-256-GCM, liée à son propre enregistrement, sous une clé de chiffrement de clés conservée comme secret de plateforme et jamais stockée dans la base de données.
Une nouvelle clé est publiée dans le jeu de clés au moins 24 heures avant sa première signature, afin que les vérificateurs l’aient en cache à temps.
04
Isolation
Contrôle d’accès et isolation
Chaque requête est rattachée à une personne ou à une application avant que quoi que ce soit soit lu ou modifié. Voici comment la connexion, le consentement, les régions et les requêtes sortantes sont gérés aujourd’hui.
01
Secrets hachés et chiffrés
Aucun mot de passe n’est stocké. Les clés d’accès ne conservent que la clé publique. Les jetons de session, les jetons de lien et les codes, les codes d’autorisation, les jetons d’accès, les codes de récupération et les secrets client des applications sont stockés sous forme de hachages SHA-256. Les secrets que le service doit lire, comme les secrets d’authentificateur et les secrets de signature des webhooks, sont chiffrés avec AES-256-GCM.
02
Connexion et sessions
05
Peu de données
Protection des données
Le service est conçu pour conserver le moins possible : aucun mot de passe, des hachages au lieu de jetons, un identifiant privé pour chaque application, et seulement les périmètres qu’une personne a autorisés.
Des hachages, pas des secrets
Les jetons, les liens, les codes et les secrets client sont stockés sous forme de hachages SHA-256, de sorte qu’une copie de la base de données n’en contient aucun qui fonctionne. Il n’y a pas de mot de passe à stocker.
Un identifiant privé par application
Une application tierce reçoit pour chaque personne un identifiant pairwise qui lui est propre, jamais l’identifiant du compte, de sorte que deux applications ne peuvent pas recouper leurs utilisateurs. Les propres plateformes d’Avonao reçoivent l’identifiant du compte.
06
Uptime
Disponibilité
L’état est mesuré depuis nos serveurs, pas écrit à la main. Nous ne promettons aucune disponibilité pendant l’accès anticipé, et un jeton qu’une application détient déjà peut être vérifié hors ligne jusqu’à son expiration.
Page d’état publique
Trois contrôles sont exécutés sur les points de terminaison publics d’Avonao ID : la connexion (découverte OpenID), les clés de signature, ainsi que les offres et la configuration. La page s’actualise environ toutes les 30 secondes.
Chaque contrôle affiche En service avec son temps de réponse, ou Ne répond pas. Un contrôle qui ne répond pas dans les 5 secondes compte comme ne répondant pas.
07
Divulgation
Réponse aux incidents et divulgation des vulnérabilités
Ce à quoi nous nous engageons lorsque quelque chose tourne mal, et comment nous signaler une faiblesse avant que quelqu’un d’autre la trouve.
72h
Violations de données personnelles
Si une violation touche des données personnelles que nous traitons pour le compte d’une entreprise, nous en informons l’entreprise sans retard injustifié et, si possible, sous 48 heures, avec ce qui est connu : la nature de la violation, les personnes et les enregistrements concernés, les conséquences probables et les mesures prises. Lorsque nous sommes responsable de traitement, nous la notifions à l’autorité compétente dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes, et nous informons les personnes concernées sans retard injustifié lorsque le risque est élevé.
Ce qui existe aujourd’hui, ce qui est disponible sur demande et ce que nous ne revendiquons pas. Si une ligne compte pour votre évaluation, le document lié est le texte qui fait foi.
Une annexe aux Conditions pour les entreprises pour les cas où nous traitons des données personnelles pour le compte d’une entreprise : connexions Enterprise et connexion des collaborateurs. L’Avonao ID d’une personne relève de nous en tant que responsable de traitement. Publié en projet 0.1.
09
Politiques
Documents juridiques
Chaque document qui régit Avonao ID. Ils sont publiés à l’état de projets, dans l’attente d’une relecture juridique. Nous informons les membres par e-mail au moins 30 jours avant l’entrée en vigueur de changements importants des Conditions d’utilisation, et les entreprises au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant.
L’accord avec les membres : le compte, la connexion, les applications et le consentement, le réseau, Verified lorsqu’il est activé, la suppression avec fenêtre de restauration et la responsabilité.
Projet 0.1
10
Évaluation
Demander les documents de sécurité.
Vous menez une évaluation de fournisseur ? Dites-nous ce qu’il vous faut. Nous répondons aux questionnaires par écrit, et les acheteurs Enterprise peuvent échanger avec nous sur l’architecture.
Le jeton indique l’identifiant de sa clé. Votre backend récupère le jeu de clés publié, vérifie la signature, l’émetteur, l’audience, l’expiration et le nonce, et n’a pas besoin de nous appeler pour chaque jeton.
Il ne prouve pas
Qui est la personne dans le monde réel. Avonao ID montre le contrôle d’une méthode de connexion, comme une clé d’accès ou une adresse e-mail, pas une identité légale. La vérification Verified (un contrôle de document et de selfie via Stripe Identity) est désactivée tant qu’elle n’est pas activée et que la personne ne la choisit pas.
Qu’une adresse e-mail reste celle de la personne. Le jeton indique que l’adresse était confirmée lors de la connexion de la personne.
Ce qu’une entreprise fait des données après l’accord de la personne. L’entreprise est un responsable de traitement distinct pour ce qu’elle reçoit.
Un lien entre les comptes d’une personne dans deux applications. Chaque application reçoit son propre identifiant pairwise, par conception.
Que quelqu’un en dehors d’Avonao l’a audité. Nous ne détenons aujourd’hui aucun rapport d’audit externe ni certification, et le tableau de conformité ci-dessous le dit.
Ce pour quoi vous nous faites encore confiance
La vérification est indépendante. La confiance est limitée à une courte liste nommée.
Vous faites confiance à
Pourquoi
En cas de défaillance
Le jeu de clés auquel vous vous fiez est le nôtre
Une signature prouve qui détient une clé, pas à qui appartient la clé. Vous récupérez le jeu en HTTPS auprès de l’émetteur que vous avez configuré.
Un jeu de clés substitué ferait paraître valides des jetons falsifiés. Épinglez l’émetteur et, pour la position la plus solide, les identifiants de clé.
Nos clés de signature ne sont utilisées que par le service de connexion
Le service signe ce que son code décide de signer. Les clés sont chiffrées au repos, sans module de sécurité matériel aujourd’hui.
Une clé de chiffrement de clés divulguée ou une clé détournée pourrait signer des jetons pour des connexions qui n’ont jamais eu lieu. Une clé compromise peut être retirée immédiatement du jeu publié.
Nous vérifions honnêtement les méthodes de connexion
Les clés d’accès, les codes et les liens sont vérifiés par notre code. Pour Google, Microsoft et GitHub, nous nous appuyons sur l’adresse qu’ils déclarent vérifiée.
Un service Avonao ID compromis pourrait signer une fausse connexion, et un fournisseur compromis pourrait déclarer une fausse adresse.
Notre horloge
Les heures d’émission et d’expiration sont l’heure de notre serveur au moment de la signature.
Une horloge décalée donne de mauvaises heures. Prévoyez une petite tolérance de décalage d’horloge lorsque vous les vérifiez.
Aucune route d’API ne renvoie de matériel de clé privée. Le jeu de clés ne contient que des champs publics.
L’accès à la production est limité à des membres nommés du personnel d’Avonao, tenus à la confidentialité. Les fonctions d’administration exigent un jeton distinct, conservé comme secret de plateforme et non dans la base de données.
La rotation se fait d’elle-même : la clé active est remplacée une fois âgée de 90 jours et lorsque son successeur est publié depuis 24 heures. Une clé retirée reste publiée assez longtemps pour que les jetons signés juste avant le changement puissent être vérifiés.
Une clé compromise peut être révoquée et retirée immédiatement du jeu publié, ce qui fait que les jetons qu’elle a signés cessent d’être vérifiables.
Les clés ne se trouvent pas dans un module de sécurité matériel. Le passage de la signature à un service cloud de gestion de clés est conçu, pas construit. Quiconque détiendrait à la fois la base de données et la clé de chiffrement de clés pourrait faire signer des jetons.
Il n’existe aujourd’hui ni journal de transparence des clés ni audit externe de la gestion des clés.
Les mêmes métadonnées sous la forme d’un serveur d’autorisation OAuth (RFC 8414)
Récupérer le jeu de clés et recalculer un identifiant de clé
curl -sSL https://id.avonao.com/.well-known/jwks.json
// kid = les 22 premiers caractères du SHA-256 en base64url des membres crv, kty, x et y de la clé, en JSON
const json = JSON.stringify({ crv: k.crv, kty: k.kty, x: k.x, y: k.y });
const digest = new Uint8Array(await crypto.subtle.digest("SHA-256", new TextEncoder().encode(json)));
const kid = btoa(String.fromCharCode(...digest))
.replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "").slice(0, 22);
Pour la position la plus solide, récupérez le jeu de clés une fois, conservez chaque kid avec ses valeurs x et y dans votre propre dépôt, et vérifiez par rapport à cette copie. Actualisez-la lorsqu’un nouveau kid apparaît. Voir /.well-known/openid-configuration
Clés d’accès, lien ou code envoyé par e-mail valable 10 minutes avec au plus 5 tentatives de code, connexion sociale, et applications d’authentification avec codes de récupération. Le cookie de session porte le préfixe __Host-, est HttpOnly, Secure et SameSite=Lax, prend fin après 14 jours sans utilisation et au plus tard après 90 jours. Les modifications sensibles demandent une confirmation récente, datant de moins de 10 minutes.
03
Consentement, périmètres et rôles
Une application ne reçoit que les périmètres que la personne a autorisés et un identifiant privé qui lui est propre, et la personne peut retirer son accès à tout moment. Les rôles d’entreprise (owner, admin, developer) suivent le moindre privilège, et une invitation ne peut être acceptée que par l’adresse e-mail invitée et confirmée.
04
Régions et multi-locataires
Les données d’une personne vivent dans une base de données régionale, accessible uniquement par le service de cette région. Un cookie ou un jeton d’une autre région est refusé, et rien n’est lu ni écrit dans une autre région en solution de repli. Les entreprises sont séparées logiquement par identifiant d’entreprise ; une base de données dédiée par entreprise est construite mais non activée.
05
Requêtes sortantes
Les webhooks sont envoyés à des adresses https sur un nom d’hôte public, signés avec HMAC-SHA256 et un horodatage, avec un délai d’expiration de 5 secondes, et les redirections ne sont jamais suivies. Un rappel (callback) de vérificateur de portefeuille doit être en https sur un domaine que l’entreprise a vérifié. La connexion Enterprise vérifie la signature, l’émetteur, l’audience, l’expiration et le nonce du fournisseur d’identité.
06
Limites de débit et abus
La connexion, la saisie de code, le point de terminaison de jeton, la création d’entreprise, les invitations, la vérification de domaine, les signalements et les abonnements sont tous soumis à des limites de débit ; le lien par e-mail autorise 5 requêtes par adresse et 20 par adresse IP en 10 minutes. Les compteurs sont stockés sous forme de hachages à clé, de sorte que ni l’adresse ni l’IP ne sont conservées en clair. Un contrôle anti-bot protège l’inscription et la création d’entreprise lorsqu’il est configuré.
Limites énoncées : un nom d’hôte qui se résout vers une adresse privée est arrêté par les règles de sortie propres à Cloudflare, pas par nous, de sorte que la liste d’autorisation des domaines vérifiés est le contrôle principal. Les webhooks, les connexions Enterprise (SAML et OIDC) et SCIM sont en Beta, fournis en l’état. Les requêtes du navigateur qui modifient des données doivent provenir de la même origine.
Un reçu pour chaque partage
Chaque fois qu’une application reçoit des informations d’une personne, la personne reçoit un reçu de données. Elle peut voir ce que chaque application peut voir et retirer son accès sous Vos applications.
Seulement ce qui a été autorisé
Une application ne reçoit que les périmètres autorisés sur l’écran de consentement. Une plateforme indique seulement si un abonnement est inexistant, gratuit ou payant. Verified, lorsqu’il est activé, conserve le résultat et le niveau de confiance, jamais les images des documents.
Régions de données
Les données personnelles, les sessions et l’historique de connexion d’une personne ne sont stockés que dans la région qu’elle choisit à l’inscription. Les enregistrements d’entreprise (applications, domaines, clés) et un index de connexion pseudonyme sont conservés dans la région d’origine, US Ouest. Les requêtes atteignent le réseau de Cloudflare à l’emplacement le plus proche du visiteur, puis sont traitées dans la région de la personne ou transmises à celle-ci.
Région
Code
Emplacement du service (région AWS)
Stockage
US Est
enam
us-east-1
Lieu indicatif
US Ouest
wnam
Service d’origine
Lieu indicatif
Europe Centre
weur-1
eu-central-1
Juridiction UE (imposée)
Europe Ouest
weur-2
eu-west-1
Juridiction UE (imposée)
Europe Nord
neur
eu-north-1
Juridiction UE (imposée)
Asie-Pacifique
apac
ap-southeast-1
Lieu indicatif
Océanie
oc
ap-southeast-2
Lieu indicatif
Une région indique où les données d’une personne sont stockées. Une requête pour une personne d’une région ne lit ni n’écrit jamais dans la base de données d’une autre région, et une région injoignable fait échouer la requête avec une erreur.
Chiffrement
Le trafic utilise HTTPS. Les bases de données sont chiffrées au repos par notre fournisseur d’infrastructure, Cloudflare. Les secrets que le service doit lire sont en outre chiffrés dans l’application avec AES-256-GCM, sous une clé conservée comme secret de plateforme et jamais stockée dans la base de données.
Suppression et effacement
Supprimer un compte le ferme immédiatement et met fin à ses sessions et à ses connexions d’applications. Pendant 28 jours, la personne peut se connecter et annuler la suppression ; ensuite, le compte, les e-mails, les méthodes de connexion, les sessions, les enregistrements de consentement et les reçus de données sont purgés, et les entrées du journal de sécurité sont anonymisées. Les plateformes et les applications d’entreprise en sont informées afin de pouvoir supprimer leurs copies. La suppression est refusée tant qu’un abonnement payant est en cours. Une personne peut télécharger ses données sous forme de fichier JSON à tout moment.
Conservation
Le compte et tout ce qui y est rattaché
Jusqu’à la suppression du compte, plus une fenêtre de restauration de 28 jours. Ensuite, le nettoyage quotidien le purge.
Sessions
Jusqu’à leur expiration (14 jours sans utilisation, 90 jours au plus) ou jusqu’à ce que la personne y mette fin. Les sessions terminées sont supprimées 30 jours plus tard.
Journaux de requêtes de l’hébergeur et données de récupération
Journaux de requêtes jusqu’à 7 jours. Données de récupération à un instant donné jusqu’à 30 jours, utilisées uniquement pour restaurer le service après une défaillance.
Journal de sécurité
395 jours (environ 13 mois), jamais plus longtemps que le compte. À la purge, les entrées sont anonymisées.
Le journal d’audit d’une entreprise
Tant que l’entreprise existe, plus un an après sa suppression.
Enregistrements de livraison des webhooks
30 jours.
Signalements et décisions de modération
3 ans après la décision, plus longtemps seulement tant qu’une décision est toujours en vigueur.
La page d’état n’affiche que l’état actuel. Elle n’a aujourd’hui ni historique d’incidents, ni abonnement par e-mail, ni flux.
La page d’état n’est pas signée et n’est pas un accord de niveau de service.
Support et niveaux de service
Avonao ID est gratuit pour les personnes et les entreprises. Pendant l’accès anticipé, il n’y a pas d’accord de niveau de service, sauf s’il est convenu par écrit. Le support se fait par e-mail : business-support@avonao.com pour les entreprises et enterprise-support@avonao.com pour les connexions Enterprise et les contrats.
Offre
Support et niveau de service
Free, Pro, Team et Scale
business-support@avonao.com. Aucun engagement de disponibilité ni crédit de service pendant l’accès anticipé.
Enterprise
enterprise-support@avonao.com. Tout niveau de service est convenu par écrit dans le contrat.
Fonctionnalités Beta
Les webhooks, les connexions Enterprise et SCIM sont fournis en l’état et ne sont couverts par aucun niveau de service.
Un contrôle de la page d’état échoue : la découverte de connexion, les clés de signature ou les offres et la configuration ne répondent pas.
Affiché comme Ne répond pas sur la page d’état en environ 30 secondes.
Violation de données personnelles
Un incident de sécurité entraîne la perte, l’altération ou la divulgation non autorisée de données personnelles, ou l’accès non autorisé à celles-ci.
Une entreprise est informée sans retard injustifié, si possible sous 48 heures. Les autorités sous 72 heures lorsque c’est requis.
Modification d’une fonctionnalité Beta
Une fonctionnalité Beta, comme les webhooks ou une connexion Enterprise, change ou prend fin.
Un préavis d’au moins 14 jours avant la fin d’une fonctionnalité Beta utilisée par une entreprise.
Une limite d’offre ne désactive jamais la connexion : au-delà de la limite d’utilisateurs actifs mensuels, les owners sont avertis et les connexions continuent. Au-delà de la limite d’applications ou de sièges, les nouveaux sont refusés et les existants restent.
Un jeton qu’une application détient déjà est vérifié hors ligne par rapport aux clés publiées. Les jetons d’identité durent 5 minutes, de sorte qu’une nouvelle connexion a besoin du service.
/status
Incidents de service
Un contrôle en échec s’affiche sur la page d’état. Pour un incident de sécurité, nous le contenons d’abord : les secrets exposés font l’objet d’une rotation, les sessions des comptes concernés sont terminées et une route concernée peut être désactivée. Les personnes concernées sont informées par e-mail depuis no-reply@id.avonao.com, avec une adresse de support.
Divulgation responsable
Signalez via le formulaire, avec vos coordonnées ou de façon anonyme, ou par e-mail à security@avonao.com. La page de signalement expose le périmètre et le safe harbor.
Étape
Objectif
Accuser réception de votre signalement
Sous 3 jours ouvrés
Évaluation initiale et gravité
Sous 10 jours ouvrés
Point d’étape tant que le problème est ouvert
Au moins tous les 14 jours
Correctif pour la gravité critique et élevée
Nous visons 30 jours
Correctif pour une gravité moindre
Nous visons 90 jours
Des objectifs, pas des garanties. Nous demandons 90 jours avant toute divulgation publique. Il n’y a pas de bug bounty monétaire ; nous citons les chercheurs par leur nom, à leur demande.
Lorsque des données quittent l’EEE, le Royaume-Uni ou la Suisse, nous nous appuyons sur le EU-US Data Privacy Framework lorsque le fournisseur est certifié, et sinon sur les clauses contractuelles types de l’UE avec l’addendum britannique.
NUICORN, Chausseestraße 86, 10115 Berlin, Allemagne, est notre représentant et délégué à la protection des données pour l’Union européenne. Il est nommé dans la Politique de confidentialité.
Un préavis d’au moins 30 jours par e-mail aux owners ou dans la console, avec le droit de s’opposer pour des motifs de protection des données et, si nous ne pouvons pas résoudre le désaccord, de mettre fin au service concerné.
Télécharger, corriger et supprimer dans le tableau de bord. Les autres demandes vont à support@avonao.com et reçoivent une réponse sans retard injustifié et dans un délai d’un mois.
Sur demande, nous mettons à disposition les informations qui montrent comment nous répondons à l’article 28 du RGPD : le DPA, les mesures de sécurité de son annexe 2 et la liste des sous-traitants.
Une fois par an avec un préavis de 30 jours, par l’entreprise ou par un auditeur indépendant tenu à la confidentialité, aux frais de l’entreprise, ou à tout moment après une violation. Nous pouvons répondre d’abord par de la documentation.
Lorsque des certifications ou des documents publics de conformité d’un fournisseur existent et que nous pouvons les partager, nous pouvons répondre d’abord à une demande d’audit avec ceux-ci.
Avonao ID n’est pas un service HIPAA. Nous n’avons pas été évalués au regard de HIPAA et ne signons pas de business associate agreements. N’y saisissez pas d’informations de santé protégées.
Quelles données personnelles nous traitons, pourquoi, qui les reçoit, où elles sont stockées, combien de temps elles sont conservées, les cookies et comment exercer vos droits.
Pour les entreprises qui utilisent Avonao ID dans leurs applications : rôles, domaines, mise en production, obligations sur les données, référencement, modération, fonctionnalités Beta, support et responsabilité.
Clauses de sous-traitant pour les connexions Enterprise et l’usage par les collaborateurs : instructions, mesures de sécurité, sous-traitants, avis de violation, audits et suppression.
Les règles strictes de mesure sur nos sites : le consentement d’abord, jamais sur les pages de connexion, aucun identifiant dans les événements, aucune publicité.
Vérifiable
