Une page sécurité se juge à ce qu’elle décrit précisément, pas à la quantité de rassurant qu’elle aligne.
Dans une application à plusieurs utilisateurs, le vrai risque n’est pas l’attaque spectaculaire. C’est une requête mal écrite qui renvoie les données d’un autre compte.
Une protection qui repose sur le code finit toujours par céder quelque part : une condition oubliée, un filtre mal placé, une nouvelle requête écrite un soir de fatigue.
Le cloisonnement est donc appliqué par la base elle-même, via le Row Level Security de PostgreSQL. Il est actif sur toutes les tables qui contiennent vos données : profils, boîtes mail, emails, événements, tâches, contacts, comptes d’agenda, historique de réponses. Même une requête incorrecte côté application ne peut pas retourner les lignes d’un autre utilisateur : l’autorisation est évaluée en dessous.
Le jeton d’accès qui permet de lire votre boîte est chiffré en AES-256-GCM avant d’être stocké, avec une clé qui ne quitte jamais le serveur et n’est jamais exposée au navigateur. Les opérations qui demandent des droits élevés passent par des routes serveur dédiées, jamais depuis votre navigateur.
C’est le point sensible : un jeton en clair dans une base compromise donnerait accès à une boîte mail entière.
Deux chemins : Google OAuth, ou email et mot de passe gérés par Supabase Auth — où les mots de passe sont stockés sous forme de condensats, jamais en clair. Les communications entre votre navigateur et nos serveurs passent par HTTPS/TLS.
Pas de certification SOC 2. Pas d’ISO 27001. Sveltly est un produit récent, et afficher un label qu’on ne détient pas serait exactement le genre de détail qui décrédibilise tout le reste de la page.
Pas de chiffrement de bout en bout non plus, et ce n’est pas un oubli : pour trier et résumer un message, le serveur doit pouvoir le lire. Un chiffrement de bout en bout rendrait le produit impossible. Beaucoup d’outils emploient pourtant le terme — nous préférons ne pas.
Une page sécurité qui n’avoue rien n’a généralement rien vérifié.
Chez Supabase pour la base, chez Vercel pour l’application. Les régions et les sous-traitants sont précisés dans la politique de confidentialité.
Les traitements, finalités et durées de conservation sont décrits dans la politique de confidentialité. C’est ce document qui fait foi, pas cette page.
Pas à ce jour. Le cas échéant, ce serait écrit ici avec la date et le nom de l’auditeur.
Durées de conservation, sous-traitants, droits : tout y est écrit noir sur blanc.