Politique de sécurité

1. Notre engagement

Digiropay gère l'argent et les données de vendeurs et d'acheteurs. La sécurité est traitée comme une fonction essentielle de la plateforme, pas comme une option. Cette page décrit les protections réellement en place et ce que nous attendons de vous pour protéger votre compte.

2. Protection des comptes

• Mots de passe : jamais stockés en clair, uniquement sous forme d'empreinte chiffrée (bcrypt). Une longueur minimale est imposée.
• Double authentification (2FA) : disponible pour tous les comptes avec une application d'authentification (Google Authenticator…), et obligatoire pour l'équipe d'administration.
• Limitation des tentatives : les essais de connexion, de code 2FA et de réinitialisation de mot de passe sont limités pour bloquer les attaques par force brute.
• Connexion Google : seule une adresse e-mail vérifiée par Google peut ouvrir un compte.
• Sessions : chiffrées, protégées contre la falsification de requêtes (CSRF), et coupées immédiatement si un compte est suspendu.

3. Protection des paiements et des retraits

• Aucune donnée de carte ne passe par nos serveurs : les paiements sont saisis chez notre prestataire SasPay.
• Confirmations signées : une commande n'est marquée payée qu'après une notification signée cryptographiquement par le prestataire, puis revérifiée directement auprès de lui (montant et devise compris).
• Vérification d'identité : aucun retrait n'est possible avant la validation de la pièce d'identité du vendeur par notre équipe.
• Destinations validées : chaque nouveau numéro Mobile Money ou compte bancaire doit être validé par notre équipe avant de recevoir un retrait. Un compte piraté ne peut donc pas détourner l'argent vers un autre numéro.
• Anti-doublon : chaque retrait porte un identifiant unique et le solde est vérifié sous verrou, pour qu'un même montant ne puisse jamais être versé deux fois.
• Numéros chiffrés : les numéros de retrait et les jetons d'intégration sont chiffrés en base de données.

4. Protection des données et des fichiers

• Chiffrement en transit : tout le site est servi en HTTPS (TLS), avec HSTS.
• Pièces d'identité : stockées sur un espace privé, jamais accessibles publiquement, consultables uniquement par l'équipe d'administration ; chaque consultation est journalisée.
• Produits vendus : livrés par des liens de téléchargement personnels et limités, réservés aux commandes payées.
• Fichiers déposés : type réel contrôlé, noms régénérés, aucun fichier exécutable servi.
• Protections du navigateur : politique de sécurité du contenu (CSP) stricte, protection contre l'intégration du site dans un cadre (clickjacking) et contre les scripts injectés.

5. Infrastructure

• Serveur dédié chez Contabo (Allemagne), pare-feu actif, accès d'administration par clé cryptographique uniquement, blocage automatique des adresses qui tentent de forcer l'accès.
• Base de données inaccessible depuis Internet ; l'application tourne sans privilèges et ne peut pas modifier son propre code.
• Mises à jour de sécurité du système appliquées automatiquement ; dépendances logicielles surveillées et mises à jour à chaque faille publiée.
• Sauvegarde complète de la base de données chaque jour.
• Journal d'audit des actions sensibles (connexions, validations, retraits, changements de statut).

6. Ce que nous ne vous demanderons jamais

Digiropay ne vous demandera jamais votre mot de passe, votre code de double authentification, votre code secret Wave / Orange Money ou un paiement pour « débloquer » un retrait — ni par e-mail, ni par WhatsApp, ni par téléphone. Nos e-mails partent uniquement de l'adresse noreply@digiropay.com. Au moindre doute, ne cliquez pas et écrivez-nous.

7. Vos bonnes pratiques

• Activez la double authentification dans votre profil.
• Utilisez un mot de passe unique, que vous n'utilisez sur aucun autre site.
• Gardez vos codes de secours 2FA hors de votre téléphone.
• Vérifiez que l'adresse affichée est bien https://digiropay.com avant de vous connecter.

8. Signaler une faille de sécurité

Si vous découvrez une vulnérabilité, écrivez-nous à seydinamouhamedndiaye@digiropay.com (voir aussi security.txt) avec une description et les étapes pour la reproduire. Nous vous répondons rapidement et ne poursuivons pas les signalements faits de bonne foi, à condition de ne pas accéder aux données d'autres utilisateurs, de ne pas perturber le service et de nous laisser le temps de corriger avant toute publication.

9. En cas d'incident

En cas d'incident de sécurité touchant vos données, nous vous informerons dans les meilleurs délais, ainsi que l'autorité de protection des données compétente (Commission de Protection des Données Personnelles du Sénégal) lorsque la loi l'exige, avec la nature de l'incident et les mesures prises.