Sécurité

Le serveur web public définit une politique CSP pour limiter les sources de contenus autorisées. La protection concerne les réponses qui la portent ; elle ne garantit pas l’absence d’injection sur chaque interface.

Les restrictions d’encadrement protègent les pages publiques concernées contre l’intégration non autorisée. L’authentification et les interfaces expressément embarquées peuvent nécessiter des règles différentes ; une politique du site marketing n’est pas automatiquement celle d’une interface d’appels du Client.

HTTPS et les en-têtes de sécurité de transport protègent le domaine servi concerné. Leur périmètre doit être vérifié pour chaque domaine Client déployé ; la marque de l’entreprise ne configure pas cette protection à elle seule.

Le serveur public utilise des protections de référence et de type de contenu pour limiter les informations de provenance inutiles et les confusions de contenu. Ces contrôles complètent l’authentification et les habilitations.

Les autorisations de fonctions du navigateur dépendent de la page. Une interface d’appels peut nécessiter le microphone et une autorisation navigateur ; celle-ci se distingue des droits d’accès de l’entreprise et de l’obligation éventuelle d’informer les participants.

Le client web actuel conserve l’état du token d’accès dans le navigateur et utilise un cookie HttpOnly pour le renouvellement. Ce stockage n’est pas présenté comme exclusivement côté serveur. La politique Cookies distingue accès de session et conservation des données.

Le renouvellement de session et les parcours d’autorisation maintiennent l’accès dans le périmètre accordé. Une connexion OAuth n’autorise pas tous les dossiers de l’entreprise ni tous les achats. Retirer l’accès et supprimer les données déjà importées sont des opérations distinctes.

Les informations publiques du produit, l’usage authentifié d’une entreprise et les interfaces MCP spécifiques ont des périmètres différents. Un assistant public du produit ne prouve pas un accès aux dossiers d’entreprise. Les interfaces commandées doivent appliquer les habilitations de l’utilisateur et de l’entreprise concernés.

Rendre un document juridique découvrable aide les personnes à le retrouver. L’indexation ou une URL canonique n’est pas un contrôle protégeant les données métier, et un aperçu non indexé n’est pas un espace privé authentifié.

MyBot s’engage à une gestion appropriée des accès et du besoin d’en connaître pour le traitement convenu selon le DPA. Les mesures et responsabilités précises relèvent de la description de sécurité du projet ; cette page ne constitue pas une garantie universelle d’isolation ou une certification.

Les rôles internes, affectations et supervisions explicites déterminent les accès. Retirer l’autorisation d’un collaborateur n’efface pas l’historique professionnel de l’entreprise. Un administrateur n’a pas automatiquement tous les droits et l’appartenance à plusieurs entreprises n’autorise pas leur partage.

Les actions externes ou engageantes préparées par l’IA, notamment les messages WhatsApp, exigent une validation humaine dans le périmètre des permissions. Les mises à jour internes de mémoire et messages de service configurés suivent leurs règles propres. Une notification envoyée ne prouve ni la réussite du travail ni sa lecture.