Conçu pour héberger de la documentation sensible.
Procédures d’exploitation, schémas d’infrastructure, rapports d’incident : Lore part du principe que vos documents sont confidentiels, et que personne ne doit voir ce qu’il n’a pas le droit de voir.
Déjà en place
Comptes protégés
Mots de passe hachés avec Argon2id, tentatives de connexion limitées puis compte verrouillé, sessions côté serveur que chacun peut fermer à distance, aucun mot de passe par défaut.
Journal d’audit
Connexions, échecs de connexion, changements de mot de passe et d’adresse, invitations, rôles, membres et réglages de l’organisation sont enregistrés. Sa consultation dans l’administration arrive en v0.1, avec les opérations sur les documents.
Vérifié à chaque modification
Des tests automatiques vérifient les comptes, les sessions et qui a le droit d’appeler l’API d’administration, à chaque modification du code.
Vos données chez vous
Lore s’héberge dans votre infrastructure, avec PostgreSQL. Rien n’est envoyé à l’extérieur sans votre décision.
Code ouvert et auditable
Le code est public. Vos équipes de sécurité peuvent le relire, le tester et le compiler elles-mêmes.
Prévu dans les prochaines versions
Ces protections arrivent avec les fonctions qu’elles protègent.
Les permissions d’abord v0.1
Les droits seront appliqués dans chaque requête, avant le tri et la pagination. Ni un titre, ni un extrait, ni un nombre de résultats ne trahira un document inaccessible.
Introuvable, au sens strict v0.1
Un document auquel vous n’avez pas accès renverra la même réponse qu’un document qui n’existe pas. Son existence même restera confidentielle.
Fichiers non fiables isolés v0.1
L’extraction du texte s’exécutera dans un processus séparé : un fichier piégé ne pourra pas faire tomber l’application.
Un assistant sous contrôle v0.3
Désactivé par défaut. Une fois activé, il ne recevra que les passages autorisés pour la personne qui pose la question.
Signaler une vulnérabilité
Ne signalez jamais une faille dans un ticket public. Utilisez le signalement privé de GitHub : nous accusons réception, vous tenons informé et vous créditons si vous le souhaitez.
Pour un signalement utile
- Une description du problème et de son impact.
- Les étapes pour le reproduire, ou une preuve de concept.
- La version ou le commit concerné.