Sécurité
Chaque partie de Deck est conçue pour protéger vos données et les identifiants de vos utilisateurs. Ce que vos utilisateurs vous confient reste entre vous et eux.
Les mots de passe restent dans le coffre-fort
Les identifiants sont tokenisés dans Deck Vault dès que votre utilisateur les envoie. Votre produit ne conserve qu’un ID d’identifiants : les mots de passe n’atteignent jamais votre base de données, vos logs ni une réponse d’API.
Tokenisés à l’écriture
Les secrets sont placés dans le coffre-fort avant l’enregistrement de l’identifiant. En cas d’échec, rien n’est stocké.
Jamais journalisés ni renvoyés
Les secrets sont retirés des logs, et aucun endpoint de l’API ne les renvoie.
Supprimés définitivement
Supprimez un identifiant : ses secrets et son état de connexion enregistré disparaissent définitivement.
Audits indépendants
Nos contrôles sont testés par des évaluateurs externes, pas seulement décrits sur le papier. Rapports, politiques et liste des sous-traitants sont disponibles dans le Trust Center.
Visiter le Trust CenterSOC 2 Type II
Audité par un cabinet d’expertise comptable indépendant.
PCI DSS niveau 1
Validé par un Qualified Security Assessor (QSA).
HIPAA
Des garanties pour les informations de santé protégées.
RGPD et PIPEDA
Des contrôles de confidentialité pour les données personnelles de l’UE et du Canada.
Conçu pour les données de carte
Deck est conforme à PCI DSS v4.0.1 niveau 1, le plus haut niveau existant. Un Qualified Security Assessor indépendant a testé directement chaque exigence pour notre Report on Compliance : vos agents peuvent payer des factures, ajouter des cartes et changer de moyen de paiement pour le compte de vos utilisateurs.
- Données de titulaires de carte chiffrées au repos et en transit
- Contrôles d’accès sur chaque système concerné
- Journalisation et surveillance de l’environnement des données de carte
- Analyses de vulnérabilités et tests de sécurité réguliers
L’Attestation of Compliance est disponible dans le Trust Center. Le Report on Compliance complet est disponible sous NDA.
Chaque exécution est cloisonnée
Chaque exécution de tâche tourne dans une session : un environnement de calcul isolé que Deck provisionne à la demande et détruit après 10 minutes d’inactivité.
Sessions vierges
Navigateur vierge à chaque session : seule la connexion enregistrée d’un identifiant est restaurée, chiffrée en AES-256-GCM.
Cloisonnement des identifiants
Chaque identifiant est lié à une seule source et ne quitte le coffre-fort que pour y authentifier une session.
Pauses d’interaction
La MFA suspend l’exécution jusqu’à 5 minutes, le temps que votre utilisateur réponde. Sans surveillance, elle peut échouer aussitôt.
Historique de captures
Une capture environ toutes les 5 secondes, avec le raisonnement de l’agent, conservée 15 jours et accessible via l’API.
Les données sensibles restent hors de vue
Le trafic est chiffré en TLS et les données stockées en AES-256. Pour les numéros de carte, numéros de compte et pièces d’identité, vous pouvez aller plus loin.
Entrées tokeniséesEnterprise
Marquez des champs comme les numéros de carte : ils vont dans le coffre-fort plutôt que dans l’historique de l’exécution.
Chiffrement des payloadsEnterprise
Les entrées et sorties des tâches sont renvoyées chiffrées avec une clé que vous détenez et déchiffrez de votre côté.
Tâches sensibles
Masquez la vue en direct, les captures d’écran et le raisonnement dans la Console pour les exécutions sur des portails bancaires ou de paie.
Conservation limitée
Les données d’exécution expirent selon un calendrier défini par votre forfait, et vous pouvez supprimer fichiers et identifiants à tout moment.
Un accès à vos conditions
Décidez qui dans votre équipe peut accéder à Deck, et d’où provient le trafic de Deck.
SSO entrepriseEnterprise
Connectez-vous via Okta, Microsoft Entra ID, Google Workspace ou tout fournisseur SAML ou OIDC.
Directory SyncEnterprise
Ajoutez et retirez des membres depuis votre fournisseur d’identité via SCIM.
Rôles
Les admins gèrent les clés d’API, la facturation et les paramètres. Les membres s’occupent du travail au quotidien.
IP statiquesEnterprise
Exécutez les tâches depuis une plage d’IP fixe pour les sources qui n’acceptent que le trafic autorisé.
Notre approche de la sécurité
Notre équipe revoit la sécurité en continu, et des testeurs externes vérifient notre travail.
Tests d’intrusion
Des testeurs tiers éprouvent la plateforme chaque année, et chaque faille est suivie jusqu’à sa correction.
Réponse aux incidents
Un plan documenté pour détecter, contenir et signaler les incidents de sécurité.
Évaluation des fournisseurs
Les sous-traitants sont évalués avant de traiter des données clients, et chacun figure dans le Trust Center.
Divulgation responsable
Vous avez trouvé une vulnérabilité ? Consultez notre programme de divulgation.