D'autres constructeurs vendent souvent la sécurité en plugins. TimingFlow inclut la pile de sécurité complète sur chaque plan par défaut — hachage Argon2id, vérifications de fuites HIBP, CAPTCHA Turnstile, authentification multifacteur, verrouillage progressif, pare-feu applicatif (WAF) Cloudflare et limitation de débit sur l'API, chiffrement AES-256, contrôle d'accès par rôle et par espace de travail, et journaux d'audit inviolables. Le seul surclassement de sécurité payant est une clé KMS dédiée optionnelle pour les équipes qui ont besoin d'une isolation cryptographique par projet.
Les mots de passe sont hachés avec Argon2id (gagnant de la Password Hashing Competition) et vérifiés contre des corpus de fuites connus via HIBP en k-anonymat — sans envoyer le mot de passe complet hors serveur.
Gagnant de la Password Hashing Competition (PHC). Algorithme à mémoire intensive résistant aux attaques GPU, ASIC et par canaux auxiliaires. Chaque mot de passe est salé individuellement.
Intégration avec Have I Been Pwned via l'API k-anonymity. Les mots de passe sont vérifiés contre une base de données de plus de 900 millions d'identifiants compromis — sans jamais envoyer le mot de passe lui-même.
Plusieurs contrôles s'interposent entre un attaquant et votre compte. Du CAPTCHA invisible au verrouillage progressif, les tentatives sont évaluées avec limites de débit et signaux d'appareil.
Cloudflare Turnstile protège les formulaires de connexion, d'inscription, de réinitialisation et les formulaires publics. La vérification est invisible dans la grande majorité des cas ; lorsque Cloudflare ne peut pas confirmer automatiquement, un défi visuel « confirmez que vous êtes humain » apparaît, avec possibilité de réessayer. Le serveur exige toujours un jeton Turnstile valide avant de traiter la connexion, l'inscription, la réinitialisation ou l'envoi d'un formulaire public.
Les tentatives de connexion sont limitées par adresse IP et par adresse courriel : 5 tentatives par 15 minutes, ou 10 lorsque Turnstile indique une confiance élevée.
Protection atomique par paire compte + adresse IP, avec périodes de verrouillage croissantes. Après des tentatives répétées depuis la même IP, cette IP est temporairement bloquée pour ce compte :
Chaque connexion est associée à une empreinte d'appareil. Lorsqu'un nouvel appareil est détecté, une alerte par courriel est envoyée au propriétaire du compte. Les utilisateurs peuvent visualiser et révoquer les sessions actives dans leurs paramètres de sécurité.
Plusieurs options de second facteur, au choix parmi les méthodes activées pour le compte. Le TOTP est vérifié serveur (RFC 6238, fenêtre ±1 pas) avec protection anti-rejeu ; chaque tentative est plafonnée (5 essais par défi, 10 par compte / 15 min).
Connexion avec Google, Microsoft, Facebook ou Apple. Avec le forfait Entreprise, un espace de travail peut exiger l'authentification unique (SSO) par son propre fournisseur d'identité (OpenID Connect) et provisionner les utilisateurs avec SCIM 2.0. Le SSO s'applique seulement à un domaine de courriel que l'espace de travail a vérifié par un enregistrement DNS TXT.
Vos données sont protégées par la même infrastructure qui propulse les plus grands sites web au monde. Les données personnelles et applicatives cœur — y compris les données de santé — sont hébergées au Canada par défaut (AWS Montréal). Le contenu publié est distribué mondialement via le CDN Cloudflare pour une performance optimale.
Un contrôle synthétique ("canary") interroge nos points d'API et un échantillon de sites publiés chaque heure. Toute exception serveur, échec Turnstile critique ou régression déclenche un regroupement sur un tableau de bord d'incidents et une alerte SMS à l'équipe — pas seulement des journaux qui dorment.
Certificats SSL automatiques pour chaque site et domaine personnalisé. Zéro configuration, renouvellement automatique. TLS 1.0 et 1.1 sont refusés (TLS 1.2 minimum) sur la console, l'API, le CDN de contenu et les sites publiés. HTTP Strict Transport Security (HSTS) est envoyé avec une durée de 2 ans; sur timingflow.io et ses sous-domaines, il porte aussi includeSubDomains et la directive preload.
L'API applicative passe par le réseau Cloudflare et est protégée par l'ensemble de règles managées Cloudflare (WAF), actif en mode blocage, avec une limitation de débit dédiée par IP sur les points de connexion et d'authentification (/v1/auth/*).
La console TimingFlow, l'API applicative et chaque site ou app publiés avec App Studio passent par le réseau mondial de Cloudflare — mise en cache, terminaison TLS et atténuation DDoS en périphérie, au plus près de vos visiteurs.
Résidence par défaut : Canada — les données personnelles et applicatives cœur sont hébergées chez AWS Canada (ca-central-1, Montréal). Les actifs publiés peuvent être mis en cache mondialement (CDN Cloudflare / R2) pour la vitesse. L'IA texte qui touche des données personnelles reste dans la région de données du projet (AWS Bedrock dans cette région) : quand un fournisseur d'IA texte externe est hors de cette région, la demande est traitée dans la région à la place. Les fournisseurs d'IA voix et média (parole, voix, image, vidéo) peuvent traiter des données hors Canada ; ils figurent comme sous-traitants sur notre page Sous-traitants. Les données de santé ne sont jamais envoyées à des fournisseurs d'IA externes. Le Canada (ca-central-1) est aujourd'hui la seule région d'hébergement ; d'autres régions sont prévues. Conçu pour les attentes LPRPDE et Loi 25 du Québec.
La console et les pages que vous publiez sont servies avec un ensemble standard d'en-têtes de sécurité HTTP, appliqués automatiquement — aucune configuration requise.
Une Content-Security-Policy limite les sources autorisées pour les scripts et autres ressources, ainsi que les sites qui peuvent afficher vos pages dans un cadre.
Indique aux navigateurs d'utiliser HTTPS seulement (max-age 2 ans). Sur timingflow.io : includeSubDomains et preload ; la soumission à la liste de préchargement des navigateurs est en cours. Les domaines personnalisés reçoivent HSTS sans includeSubDomains, puisque vous contrôlez ces zones.
Empêche les attaques de clickjacking en contrôlant si vos pages peuvent être intégrées dans des iframes.
Empêche le reniflage de type MIME. Assure que les navigateurs respectent les types de contenu déclarés.
Contrôle la quantité d'information de référence partagée lors de la navigation. Protège les paramètres URL sensibles.
La console TimingFlow refuse les scripts en ligne et l’exécution de code par eval : chaque script en ligne autorisé est épinglé par une empreinte au moment du build, et la politique est aussi envoyée en en-tête HTTP.
Désactive les fonctions matérielles du navigateur que les sites publiés n'utilisent pas (USB, série, HID, Bluetooth, MIDI) et les sujets publicitaires par centres d'intérêt.
Les scripts et feuilles de style tiers chargés depuis des CDN publics sont figés à une version exacte avec une empreinte d'intégrité : un fichier modifié est refusé par le navigateur. Turnstile et Stripe.js, que leurs fournisseurs mettent à jour sur place, sont plutôt restreints par la CSP.
Chaque changement de rôle, de permission et action sensible d'espace de travail est enregistré dans une chaîne de hachage HMAC inviolable — toute altération rétroactive d'une entrée casse la chaîne et est détectable par vérification. La vérification de la chaîne est offerte par l'API. Conservés au moins 12 mois (événements de sécurité des espaces du secteur de la santé : 7 ans ; journaux d'accès aux données de santé : pendant toute la vie du projet). Les propriétaires et administrateurs de l'espace de travail peuvent les exporter en CSV ou JSON.
Vos données sont chiffrées à chaque étape, sauvegardées en continu et séparées par des partitions par espace de travail / projet avec un contrôle d'accès appliqué côté serveur sur chaque route.
Les stores de données applicatives (dont DynamoDB et le stockage d’objets de la plateforme) sont chiffrés au repos en AES-256 avec des clés AWS KMS sur le chemin par défaut. Les réponses de formulaires sensibles peuvent ajouter un chiffrement d’enveloppe AES-256-GCM afin que chaque enregistrement protégé porte sa propre clé de données encapsulée.
Le trafic client et API est chiffré en transit ; TLS 1.0 et 1.1 sont refusés sur la console, l'API, le CDN de contenu et les sites publiés — seul TLS 1.2 ou plus récent est accepté. La forward secrecy protège les sessions passées si les clés à long terme sont ensuite renouvelées.
Les webhooks de formulaires circulent déjà en HTTPS. Les propriétaires peuvent aussi activer le chiffrement de contenu AES-256-GCM pour que les réponses, champs utilisateur et contexte quittent TimingFlow en ciphertext. Les champs de routage (événement, horodatage, ID du formulaire) restent lisibles ; le système destinataire déchiffre avec le secret webhook partagé. Activez le chiffrement, envoyez un test vers un visualiseur — vous voyez du ciphertext. Ajoutez le secret de l’autre côté — la charge utile complète apparaît. Idéal quand la destination n’a pas de crypto native (petit endpoint Node/Worker pour déchiffrer, ou laissez le chiffrement désactivé et fiez-vous à TLS + HMAC pour Bubble).
La récupération ponctuelle (PITR) DynamoDB est activée sur les tables cœur de plateforme pour restaurer à une seconde dans la fenêtre de rétention. C’est une mesure de résilience plateforme — pas un substitut à vos propres politiques d’export et de conservation.
Espaces de travail et projets sont séparés par le design des partitions DynamoDB, avec un contrôle d'accès appliqué côté serveur sur chaque route. Quatre rôles hiérarchiques (visualiseur / membre / admin / propriétaire) et un catalogue de permissions nommées (facturation, membres, modules, suppression, export…) déterminent ce que chaque personne peut faire. Des accès restreints de type « SendGrid » (ex. gestion des courriels seulement) peuvent être accordés à un membre invité sans lui donner les droits admin. Règle du rang créateur : personne ne peut supprimer une ressource créée par quelqu'un d'un rang supérieur au sien — seul le propriétaire de l'espace de travail passe toujours. Là où PostgreSQL est utilisé pour les apps publiées, des frontières au niveau des lignes (RLS) s'ajoutent au contrôle d'accès applicatif.
Supprimer un espace de travail ou un projet le déplace en corbeille — récupérable pendant 30 jours, comme Google Drive ou Microsoft 365. La suppression définitive immédiate exige le rôle propriétaire, la confirmation exacte du nom et une réauthentification (mot de passe, code AMF, ou connexion récente pour les comptes OAuth/SSO). Les espaces de travail internes protégés de TimingFlow ne peuvent jamais être placés en corbeille.
Chaque plan inclut le chiffrement plateforme complet sous les clés gérées par TimingFlow — le défaut est déjà de niveau production. Les équipes qui ont besoin d’une isolation cryptographique supplémentaire peuvent ajouter une clé KMS dédiée par projet (couche Enterprise optionnelle en plus de la pile incluse).
Défaut pour tous les projets — sécurité production complète, pas un niveau limité. Les champs sensibles et le stockage sont protégés en AES-256 avec des clés AWS KMS opérées par TimingFlow, plus isolation des locataires (clés de partition, règles d’accès / RLS le cas échéant).
Crée une clé de chiffrement gérée pour le client, réservée à un projet App Studio. Politique stricte : tant qu’elle est active, les données chiffrées du projet sont destinées à vivre à 100 % sous cette clé dédiée — pas un mélange permanent de clés.
La sécurité décrite plus haut ne concerne pas seulement la console TimingFlow. Chaque site, application ou formulaire publié avec App Studio tourne sur la même pile production — vos utilisateurs finaux sont protégés au niveau entreprise par défaut, sans installer de plugins de sécurité.
Les comptes utilisateurs de vos sites publiés utilisent le même hachage Argon2id que la plateforme principale.
Le verrouillage progressif protège chaque formulaire de connexion sur chaque site que vous publiez.
Limites de débit sur la connexion des membres et la réinitialisation du mot de passe, plus Cloudflare Turnstile sur les formulaires de connexion qui l'incluent.
HTTPS automatique (TLS 1.2+) et en-têtes de sécurité complets — HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy — sur chaque page publiée.
Les propriétaires de sites ont un tableau de bord montrant toutes les protections actives, le score de sécurité et les recommandations.
Les domaines enregistrés par TimingFlow utilisent Cloudflare Registrar, qui masque les coordonnées WHOIS lorsque le registre le permet. Les domaines personnalisés reçoivent un certificat SSL automatique.
Beaucoup de créateurs de sites dépendent de plugins de sécurité tiers, licenciés par site, installés un par un et qui peuvent être désactivés par n'importe quel admin. TimingFlow adopte une autre approche.
Coût par site : souvent une licence annuelle pour chaque site
Installation : Manuelle + configuration sur chaque site
Risque : Peut être désactivé, obsolète ou mal configuré
Portée : Protège uniquement les sites où installé
Chaque plugin ajoute du code à tenir à jour
Coût : Inclus — aucun frais par site
Installation : Automatique — zéro configuration
Protection : Les contrôles de base font partie de la plateforme, ce ne sont pas des plugins amovibles
Portée : La plateforme et chaque site que vous publiez
Aucun système de plugins = aucun code de plugin tiers à corriger
TimingFlow est conçue pour les organisations qui ont des obligations en matière de vie privée. Nous décrivons ce que la plateforme permet; nous ne revendiquons aucune certification que nous ne détenons pas.
Données principales hébergées au Canada; accès, rectification, portabilité et suppression du compte en libre-service; liste des sous-traitants publiée.
Outils intégrés : registre des incidents de confidentialité, export JSON/CSV, suppression du compte, consentement aux témoins journalisé sans IP, analytique sans identifiant persistant avant consentement. Voir notre politique de confidentialité.
Accès, rectification, effacement et portabilité en libre-service; outil de demandes pour les propriétaires de sites; consentement journalisé. Une entente de traitement des données est offerte sur demande. La résidence des données dans l'UE n'est pas offerte.
Outils d'accessibilité alignés sur WCAG 2.1 AA : audits assistés par IA et suggestions de correction pour les pages que vous créez.
TimingFlow ne détient aucune certification SOC 2 ni ISO 27001. Nos hébergeurs (AWS, Cloudflare) détiennent leurs propres certifications, qui ne s'étendent pas à TimingFlow.
Rôles d'espace de travail (propriétaire, administrateur, membre, lecteur), rôles et permissions personnalisés pour les utilisateurs de vos applications, et contrôles d'accès par projet.
Un résumé des protections actives sur les comptes TimingFlow et les sites publiés.
Gagnant de la
Password Hashing Competition
TOTP, courriel, SMS
+ codes de secours
Règles managées
+ limitation de débit API
TLS 1.0/1.1
refusés
AWS ca-central-1
Montréal
Récupération
ponctuelle
Détection
de fuites
Outils vie privée
intégrés
Ces protections sont construites et sont déployées par étapes. Chacune porte l’étiquette « En cours de déploiement » jusqu’à ce qu’elle soit active en production ; l’étiquette est alors retirée.
Connexion sans mot de passe avec Face ID, Touch ID ou Windows Hello dans la console TimingFlow, comme méthode principale ou comme second facteur.
Les membres des sites que vous publiez profitent du modèle de session déjà utilisé par la console : cookies HttpOnly, accès de courte durée et renouvellement par rotation avec détection de réutilisation — aucun jeton de session lisible par les scripts de la page.
Les sites que vous publiez passent sur leur propre domaine, timingflow.app, entièrement séparé de la console (le modèle de github.io et web.app).
Les pages publiques (formulaires, soumissions, factures, rapports partagés, portails) sont servies depuis un domaine portail séparé qui ne porte jamais de session de la console.
Pour la console TimingFlow et pour les sites et applications que vous créez. Un code est envoyé automatiquement par courriel — sans configuration. En un clic, passez à une application d’authentification (1Password, Google Authenticator, Microsoft Authenticator…) ou à une clé d’accès. La connexion avec Microsoft, Google, Apple, Facebook ou le SSO de l’entreprise s’appuie sur la protection du fournisseur.
Vous avez trouvé une faille de sécurité dans TimingFlow, un site publié avec App Studio ou notre infrastructure ? Écrivez-nous à [email protected]. Décrivez les étapes de reproduction, l'impact potentiel et, si possible, une preuve de concept non destructive. Nous accusons réception, vous tenons informé de l'avancement et évitons de rendre publique une faille avant qu'un correctif ne soit déployé. Merci de ne pas accéder aux données d'un autre client au-delà de ce qui est strictement nécessaire pour démontrer la faille. Détails techniques : /.well-known/security.txt.
Notre équipe est prête à discuter de vos exigences en matière de sécurité, de conformité et de résidence des données. Nous pouvons fournir une documentation détaillée pour votre audit de sécurité.