Sécurité de Tenly
Dernière mise à jour : 22 octobre 2026. Cette page dit ce qui est vrai aujourd'hui, avec ses sources, et ce qui ne l'est pas encore. Nous n'affichons aucun logo de certification que nous ne possédons pas.
L'essentiel en trois phrases
- Tenly n'a pas encore de certification propre (ISO 27001, SOC 2) ni d'audit de sécurité externe. C'est normal pour un produit en lancement, et nous préférons vous le dire.
- Nos hébergeurs, eux, sont certifiés par des auditeurs indépendants (tableau ci-dessous), et vos données sont hébergées dans l'Union européenne.
- Vous pouvez vérifier vous-même la connexion chiffrée du site avec des outils indépendants (liens ci-dessous).
Vérifiez par vous-même
Ces outils publics analysent tenly.fr en direct. Le résultat est celui du jour où vous cliquez, pas une capture figée.
- Mozilla Observatory : en-têtes de sécurité, HTTPS, politique de contenu.
- Qualys SSL Labs : qualité du chiffrement et du certificat.
- Security Headers : en-têtes de sécurité HTTP.
Constat fait le 22 octobre 2026 : le certificat HTTPS de tenly.fr est valide (émis par Google Trust Services via Cloudflare, renouvelé automatiquement), l'accès HTTP est redirigé vers HTTPS, et les en-têtes de sécurité (HSTS, politique de sécurité de contenu, anti-clickjacking, no-sniff) sont en place. Mesure indépendante du 22 octobre 2026 : Mozilla Observatory attribue la note A+ à tenly.fr (12 tests réussis sur 12). Cette note concerne le site vitrine ; elle peut évoluer, d'où les liens ci-dessus pour refaire la mesure.
Certifications de nos prestataires
Ces certifications sont celles de nos prestataires, pas celles de Tenly. Elles proviennent de leurs pages publiques, consultées le 22 octobre 2026 ; suivez les liens pour le périmètre exact et les rapports.
| Prestataire | Rôle pour Tenly | Ce qu'il publie |
|---|---|---|
| Cloudflare | Site tenly.fr, DNS, e-mail de contact | ISO 27001, ISO 27701, SOC 2 Type II, PCI DSS (liste détaillée sur son Trust Hub) |
| Vercel | Application et démonstration | SOC 2 Type 2, ISO 27001, cadre de protection des données UE–États-Unis |
| Neon | Base de données (Union européenne, Francfort) | SOC 2 Type II, ISO 27001:2022, ISO 27701:2019 ; données chiffrées au repos (AES-256) et en transit (TLS 1.2 minimum) |
| Stripe | Paiement des abonnements, à l'ouverture des comptes payants (pas encore actif) | Certifié PCI DSS niveau 1, rapports SOC 1 et SOC 2 Type II. Les données de carte ne passent jamais par Tenly. |
Ce que Tenly met en œuvre
- En place — Isolation stricte entre organisations : une organisation ne peut jamais lire les données d'une autre. Un contrôle automatique vérifie chaque requête à chaque modification du code, et plus de 200 tests automatiques le garantissent.
- En place — Mots de passe stockés sous forme hachée (scrypt), jamais en clair. Double authentification disponible.
- En place — Chiffrement applicatif (AES-256-GCM) des signatures, des documents signés et des libellés de relevés bancaires, en plus du chiffrement de l'hébergeur. Les numéros de compte (IBAN) et de carte présents dans un relevé ne sont jamais enregistrés.
- En place — Liens sensibles (signature, espace locataire) : jeton aléatoire de 256 bits dont seule l'empreinte est conservée, durée limitée, usage unique pour la signature, révocables, jamais indexés ni mis en cache.
- En place — Droit d'accès et d'effacement : export des données d'un locataire et anonymisation complète (contrats, signatures, relevés rapprochés, liens d'accès).
- En place — Journal d'activité des opérations importantes (paiements, exports, signatures, suppressions).
- En place — Site sans cookie et sans outil de mesure d'audience ; la démonstration n'utilise que des données fictives, supprimées au bout de 7 jours.
- En place — Hébergement dans l'Union européenne pour la base de données.
Ce qui n'est pas encore fait
- À faire — Certification de Tenly (ISO 27001 ou SOC 2) : coûteuse, envisagée quand le nombre de clients le justifiera.
- À faire — Audit de sécurité et test d'intrusion par un prestataire indépendant. Nous avons réalisé une revue interne du code et un test d'intrusion léger, ce qui ne remplace pas un audit externe.
- À faire — Programme de récompense de vulnérabilités (« bug bounty »).
- À faire — Documents contractuels pour les clients professionnels (accord de sous-traitance des données) : disponibles à l'ouverture des premiers comptes.
Signaler une vulnérabilité
Vous pensez avoir trouvé une faille ? Écrivez à contact@tenly.fr en décrivant le problème. Ne consultez pas et ne modifiez pas de données qui ne sont pas les vôtres. Nous accusons réception et corrigeons au plus vite. Voir aussi notre security.txt.