Centre de confiance

Tout ce qu’une revue de sécurité demande sur Kennmarq.com, au même endroit : où résident vos données, comment les clés sont protégées, qui d’autre traite des données, et comment vérifier notre travail en toute indépendance.

Où résident les données

Zurich (AWS eu-central-2) : tout ce qui est conservé. La base de données, les fichiers envoyés, les Content Credentials durables, le journal de transparence, les clés de signature, ainsi que le service de marquage et le serveur d’horodatage, qui n’ont pas d’adresse publique.
Francfort (AWS eu-central-1) : le point d’entrée de l’API, derrière CloudFront. Les requêtes y transitent en mémoire en route vers Zurich ; rien n’y est conservé. Les sauvegardes de la base de données y sont copiées.
Irlande (AWS eu-west-1) : la page d’état du service, qui vérifie celui-ci depuis l’extérieur. Elle ne contient aucune donnée client.

Les images et les morceaux sont lus en mémoire le temps d’un appel et ne sont conservés nulle part ; les vidéos marquées attendent une journée que vous les téléchargiez. Le mode local garde les fichiers sur votre machine : seul un manifeste d’environ 13 Ko nous parvient. La politique de confidentialité énumère tout ce que nous conservons, et pour combien de temps.

Chiffrement et clés

TLS 1.2 ou version ultérieure partout : entre vous et nous, et entre nos services et la base de données.
Le stockage, la base de données et ses sauvegardes sont chiffrés au repos ; les secrets sont dans AWS Systems Manager, chiffrés avec KMS.
Sept clés dans AWS KMS, jamais exportées : deux racines (P-384), les clés de signature de production et de test, la clé d’horodatage, la clé du journal et celle du vérificateur (P-256). Nos chaînes de certificats sont publiées.
Notre service de signature n’accepte que ce que porte un marquage Kennmarq.com (types de source IA, notre propre générateur, aucune miniature), avec un nombre fixe de signatures par appel : notre signature ne peut donc pas être apposée à d’autres déclarations.

Accès

Chaque fonction a son propre rôle, avec uniquement les autorisations dont elle a besoin.
Le service de marquage et le serveur d’horodatage n’ont pas d’URL : seul le rôle de l’API peut les invoquer, via l’API AWS.
La base de données n’admet l’application qu’avec des jetons IAM de courte durée, sur TLS vérifié ; aucun mot de passe de base de données n’existe dans l’application.
L’accès administrateur passe par un unique utilisateur IAM avec authentification multifacteur ; l’utilisateur racine du compte est réservé aux tâches liées au compte.
De votre côté : des organisations avec cinq rôles, des clés de test et de production avec portées, des listes d’IP autorisées, et un journal d’audit non modifiable, ancré dans le journal de transparence et exportable en CSV ou en JSON.

Une intégrité vérifiable

Chaque signature, chaque horodatage et chaque résultat signé du vérificateur est ajouté à un journal de Merkle public, avec une racine signée toutes les heures tant qu’il croît. Chacun peut demander la preuve qu’une entrée y figure et que le journal ne fait que croître : le journal de transparence, et son API. Rien ne peut être signé en dehors du journal ni antidaté sans que cela se voie.

Disponibilité

La page d’état du service vérifie chaque minute le site, l’API, la signature, le journal et le vérificateur, depuis une région où le service ne fonctionne pas, avec 90 jours d’historique.
En cas d’échec, le marquage ne laisse rien passer : un fichier qui n’est pas marqué exactement comme demandé n’est jamais renvoyé, et rien n’est décompté.
Base de données : restauration ponctuelle sur 7 jours, avec des copies dans une seconde région.
L’API v1 est gelée : uniquement des ajouts, et un préavis de 12 mois avant toute modification incompatible. Chaque modification figure dans le journal des modifications.

Logiciel

Chaque dépendance est figée sur une version exacte, et chaque image de conteneur sur un condensé (digest) ; les mises à jour sont relues avant leur déploiement.
Les images de conteneur sont analysées à la recherche de vulnérabilités connues au moment où elles sont poussées.
Nomenclatures logicielles (CycloneDX) : l’application web et l’API, ainsi que le service de marquage et le serveur d’horodatage.
Avant chaque mise en production : les tests automatisés de chaque composant (environ 650) et un test de bout en bout sur les trois services ensemble, avec de vraies signatures, de vrais horodatages et de vrais filigranes.

Questionnaire de sécurité

Des réponses courtes aux questions les plus fréquentes des questionnaires de sécurité. Écrivez-nous pour tout ce qu’elles ne couvrent pas.

Qui êtes-vous ?: Kennmarq.com est développé et exploité par Neuramare (Angelo Lamonaca, entreprise individuelle), à Baar, en Suisse, avec une surveillance et des alertes automatisées 24 heures sur 24.
Où sont stockées les données clients ?: Chez AWS à Zurich (eu-central-2). Les sauvegardes de la base de données sont copiées chez AWS à Francfort. Rien n’est stocké ailleurs.
Conservez-vous nos fichiers ?: Non. Les images et les morceaux sont marqués en mémoire et ne sont jamais stockés. Les fichiers envoyés attendent à Zurich jusqu’à leur utilisation, une heure au plus, et les vidéos marquées une journée, le temps que vous les téléchargiez.
Les données sont-elles chiffrées ?: En transit avec TLS 1.2 ou version ultérieure ; au repos avec AES-256 (base de données, sauvegardes, stockage) ; les secrets avec AWS KMS.
Comment les clés de signature sont-elles protégées ?: Créées dans AWS KMS (matériel validé FIPS 140) et jamais exportées ; chaque signature est un appel à KMS, plafonné par requête.
Qui peut accéder à la production ?: Seul l’administrateur de Neuramare, via AWS IAM avec authentification multifacteur. Le rôle de chaque service n’a accès qu’à ce dont il a besoin.
Faites-vous appel à des sous-traitants ultérieurs ?: Trois : AWS (hébergement), Stripe (paiements) et Proton (les e-mails que vous nous envoyez). La liste.
Proposez-vous un accord de traitement des données (DPA) ?: Oui, en ligne, au titre de l’art. 28 du RGPD et de la LPD suisse, avec notification des violations sous 48 heures.
Disposez-vous de certifications ?: Nous ne détenons pas nous-mêmes de certification SOC 2 ou ISO 27001 ; AWS détient les deux pour l’infrastructure sur laquelle nous fonctionnons. Cette page et le journal de transparence public documentent nos contrôles.
Journalisez-vous des données personnelles ?: Nos journaux contiennent les ID de requête et de clé et les durées de traitement, conservés 30 jours ; aucun contenu de fichier, aucune adresse IP. Le journal d’audit consigne qui a modifié quoi dans une organisation, avec l’adresse IP.
Comment savoir que vous ne signez que ce que vous annoncez ?: Chaque signature et chaque horodatage entrent dans un journal de transparence public, en ajout seul, aux racines signées. Chacun peut le vérifier.
Et si vous disparaissez ?: Les marquages restent valides et lisibles sans nous : C2PA et IPTC sont des standards ouverts, TrustMark, Video Seal et AudioSeal sont open source, et nos chaînes de certificats sont publiques.
Sauvegardes et restauration ?: Restauration ponctuelle de la base de données à n’importe quelle seconde des 7 derniers jours, avec des copies dans une seconde région.
Comment gérez-vous les incidents ?: Nous rétablissons d’abord le service, informons les clients concernés et publions sur la page d’état du service ; une violation de données personnelles est notifiée sous 48 heures.

Documents

Notre seul domaine

kennmarq.com est notre seul domaine : nous n’en utilisons jamais d’autre pour vous écrire, vous connecter ou vous facturer. Les e-mails automatiques proviennent de mailer.kennmarq.com. Un site, un e-mail ou une facture qui se réclame de Kennmarq.com depuis un autre domaine ne vient pas de nous : n’y saisissez ni mot de passe ni clé, et signalez-le-nous à security@kennmarq.com.

Signaler une vulnérabilité

Écrivez à security@kennmarq.com (adresse également indiquée dans notre security.txt). Nous accusons réception sous deux jours ouvrables et vous tenons au courant jusqu’à la correction. Si vous agissez de bonne foi, ne testez que sur votre propre compte et vos propres données, ne dégradez pas le service pour les autres et nous laissez un délai raisonnable pour corriger avant de publier, nous n’engagerons aucune action contre vous. Nous n’avons pas de programme de bug bounty rémunéré ; nous mentionnons volontiers les personnes qui signalent une faille et souhaitent être nommées.