Sécurité

Les comptes et les sessions

• Les mots de passe ne sont jamais stockés : seule une empreinte bcrypt l’est. Personne chez Sahilley ne peut lire le vôtre, et nous ne pouvons pas vous le rappeler — seulement le réinitialiser.
• Les tentatives de connexion sont limitées, et un compte visé se verrouille temporairement. La réponse est identique que l’identifiant existe ou non : elle ne dit jamais si quelqu’un est inscrit chez nous.
• Une session ouverte se ferme d’elle-même après quatorze jours sans activité pour le personnel, trente pour un parent — qui ne peut rien écrire.
• Vous pouvez fermer TOUTES les sessions d’un compte d’un clic, depuis Paramètres › Mes données. Utile pour un téléphone perdu ou un poste partagé.
• Retirer un accès, réinitialiser un mot de passe ou révoquer un parent déconnecte immédiatement l’appareil concerné, sans attendre l’expiration.
• Un mot de passe dicté au téléphone est marqué comme provisoire : l’application exige son remplacement à la première connexion.

Les échanges et le stockage

• Tout passe par HTTPS. Les cookies de session ne sont pas lisibles par du JavaScript et ne partent pas vers un autre site.
• Chaque écriture exige un jeton anti-falsification : un autre site ne peut pas faire agir votre navigateur à votre insu.
• La base est hébergée dans l’Union européenne, sauvegardée par l’hébergeur, et les serveurs qui la servent sont en Europe eux aussi — la même région, pour que l’application reste rapide depuis N’Djamena.
• Les fichiers envoyés (logo, photos) sont vérifiés sur leur contenu réel et non sur leur nom : renommer un fichier en « .jpg » ne suffit pas à le faire passer.

Le cloisonnement entre établissements

C’est la garantie la plus importante d’un logiciel partagé : aucune école ne peut voir les données d’une autre. Elle ne repose pas sur ce qu’affichent les écrans.

• L’établissement de chaque requête est déduit du compte connecté, jamais de ce que le navigateur envoie. Une requête fabriquée qui prétendrait viser une autre école ne trouve rien.
• Un identifiant appartenant à une autre école répond « introuvable » et non « interdit » : la réponse ne confirme même pas son existence.
• Chaque table du domaine porte son établissement, et chaque lecture le filtre.

Ce que chaque personne voit

Le filtrage se fait AU MOMENT DE L’ENVOI, pas à l’affichage. C’est une différence de nature : ce qui arrive sur un téléphone est lisible avec les outils du navigateur, donc masquer un écran ne protégerait rien. Ce qu’une personne n’a pas le droit de voir ne quitte jamais nos serveurs.

• Un enseignant reçoit ses classes et ses matières. Les barèmes de frais et les versements ne sont même pas interrogés pour lui.
• Il note dans les matières qu’il enseigne, et fait l’appel là où l’emploi du temps le place. Le professeur principal, lui, tient le registre de sa classe tous les jours.
• La santé déclarée d’un élève n’est transmise qu’au professeur principal de sa classe — celui qui est devant l’enfant si quelque chose arrive. Pas au professeur de musique affecté deux heures.
• Un parent voit ses enfants, en lecture seule. Il n’a aucune adhésion à l’établissement : c’est ce qui l’empêche d’écrire quoi que ce soit, même en fabriquant des requêtes.
• Les sanctions disciplinaires ne quittent jamais l’établissement : elles ne figurent sur aucun certificat, aucune attestation, aucun document qui part dans une autre école ou dans une banque.

Ce que l’équipe Sahilley ne voit pas

• Aucun membre de l’équipe ne peut se connecter à votre espace ni se faire passer pour vous. Cette fonction n’existe pas dans le logiciel.
• Notre tableau de bord interne n’affiche que des comptages — nombre d’élèves, nombre d’enseignants, état de l’abonnement, date de dernière activité. Jamais le nom d’un élève, une note ou un dossier.
• Chaque action de notre équipe sur un compte client est journalisée : qui, quoi, quand.
• Nous ne vendons, ne louons et ne cédons aucune donnée. Il n’y a ni publicité, ni traceur publicitaire, ni revente de statistiques.

Sur les appareils de votre école

Pour fonctionner sans réseau, l’application garde une copie locale sur chaque appareil connecté. C’est ce qui permet de faire l’appel dans une salle sans connexion — et c’est aussi le point qui dépend de vous.

• Cette copie est limitée à ce que la personne a le droit de voir : le téléphone d’un enseignant ne contient pas la comptabilité de l’école.
• Elle est EFFACÉE à la déconnexion. Un poste partagé au secrétariat doit être déconnecté après usage — c’est la précaution la plus utile de cette page.
• Le portail des parents ne garde aucune copie locale : il contiendrait l’école entière et non leurs seuls enfants.

Ce que nous ne faisons pas encore

Cette section existe pour que la page reste honnête. Un point non mentionné ailleurs n’est pas un point traité en silence.

• Pas encore de double authentification (code à usage unique). C’est prévu.
• Pas encore de journal d’activité consultable par le directeur lui-même : les actions de notre équipe sont tracées, celles au sein de votre école ne le sont pas toutes.
• Pas encore d’audit de sécurité par un tiers indépendant. Nous le ferons ; nous ne prétendrons pas l’avoir fait avant.
• La sauvegarde est celle de notre hébergeur. Nous vous encourageons à télécharger régulièrement votre export : c’est une copie que vous détenez, indépendante de nous.

Signaler une faille

Si vous pensez avoir trouvé une faille, écrivez à info.sahilley@gmail.com avec de quoi la reproduire. Nous répondons, nous corrigeons, et nous ne poursuivons personne qui nous signale un problème de bonne foi sans avoir cherché à accéder aux données d’autrui.

Si un incident affectait les données de votre établissement, nous vous en informerions directement.