Secrets chiffrés
- Les contrôles s'affichent ici dès que le serveur répond.
Privé et sécurisé
La sécurité de CoolRoom, vérifiée toutes les heures
Tes identifiants d'école, tes notes, tes messages : voici comment ils sont protégés, et le résultat des contrôles automatiques qui tournent sur le vrai serveur toutes les heures, selon les standards de l'OWASP.
- OWASP ASVS 5.0 · L2
- API Top 10 · 2023
- toutes les heures, à la 7e minute
Les 7 derniers jours, heure par heure
- Tout réussi
- À surveiller
- Au moins un échec
- Pas de contrôle
La preuve
Ce que le serveur vérifie, toutes les heures
Chaque contrôle teste le service en marche, pas une copie : la base de données, l'API, les adresses publiques et les bibliothèques. Les références renvoient aux exigences OWASP qu'il couvre.
Accès
- Les contrôles s'affichent ici dès que le serveur répond.
Navigateur et transport
- Les contrôles s'affichent ici dès que le serveur répond.
Données personnelles
- Les contrôles s'affichent ici dès que le serveur répond.
Abus
- Les contrôles s'affichent ici dès que le serveur répond.
Logiciels
- Les contrôles s'affichent ici dès que le serveur répond.
Tes identifiants d'école
Sous double serrure
Pour récupérer tes notes et tes devoirs toutes les 5 minutes, CoolRoom doit se connecter à Pronote ou Skolengo à ta place. Il garde donc ton identifiant, mais jamais en clair.
- 01
Une clé rien que pour toi
Chaque identifiant est chiffré avec sa propre clé aléatoire de 256 bits, en AES-256-GCM.
- 02
La clé, elle aussi enfermée
Cette clé est chiffrée à son tour par une clé maîtresse gardée hors de la base de données (AES Key Wrap).
- 03
Liée à ton compte
Le chiffrement est attaché à ton compte et à ton école : recopié ailleurs, il ne s'ouvre plus.
- 04
Ouvert au dernier moment
Il n'est déchiffré qu'au moment de parler à ton école, et n'apparaît jamais dans les journaux.
Une base de données volée seule ne suffit pas : sans la clé maîtresse, elle ne contient que du texte illisible. Le serveur de CoolRoom, lui, peut déchiffrer, car il en a besoin pour synchroniser : ce n'est donc pas du chiffrement de bout en bout.
En place
Les protections, une par une
Mots de passe hachés
Ton mot de passe CoolRoom n'est jamais stocké, seulement une empreinte Argon2id. Les mots de passe trop courants sont refusés.
Rien sans ta session
Le serveur vérifie chaque demande : sans session valide, aucune route privée ne répond. Les parents n'ont qu'une lecture limitée.
Notifications discrètes
Par défaut, une notification dit « Nouvelle note », jamais la matière, l'expéditeur ou le message. Tu peux afficher le contenu dans Réglages.
Essais limités
Connexion, double authentification, codes de classe et de parent, connexion à ton école : au-delà de quelques essais, il faut patienter.
Journaux sans secrets
Mots de passe, jetons, clés et cookies sont masqués avant d'être écrits, et le serveur relit ses journaux chaque heure.
Photos temporaires
Les photos lues par l'OCR ne sont pas gardées ; celles du chat quittent le serveur après leur délai, et tu peux tout effacer.
Composants surveillés
La liste des bibliothèques du serveur est comparée chaque heure aux failles connues (OSV.dev), et la version en ligne a passé tous ses tests de sécurité.
Navigateur verrouillé
HTTPS partout, politique de sécurité du contenu stricte, aucun script inconnu, aucune page piégeable dans un cadre.
Notre référence
Les standards de l'OWASP
L'OWASP est la fondation qui publie les standards de sécurité des applications web. On suit son ASVS 5.0 au niveau 2, le niveau prévu pour les applis qui gèrent des données sensibles, et son Top 10 de la sécurité des API.
Le détail, exigence par exigence, est tenu dans notre documentation et revu à chaque version. Évaluation interne : aucun audit externe n'a encore eu lieu.
ASVS 5.0 · exigences des niveaux 1 et 2
253 exigences
- 132 vérifiées
- 57 en partie
- 9 à faire
- 55 non applicables
OWASP API Security Top 10 · 2023
- API1Broken Object Level AuthorizationTesté
- API2Broken AuthenticationVérifié
- API3Broken Object Property Level AuthorizationEn partie
- API4Unrestricted Resource ConsumptionVérifié
- API5Broken Function Level AuthorizationVérifié
- API6Unrestricted Access to Sensitive Business FlowsEn partie
- API7Server Side Request ForgeryVérifié
- API8Security MisconfigurationEn partie
- API9Improper Inventory ManagementEn partie
- API10Unsafe Consumption of APIsEn partie
Honnêtement
Ce qu'on ne prétend pas
- Pas d'audit externe pour l'instant : ces preuves viennent de nos propres tests automatiques. Un audit indépendant viendra plus tard.
- Pas de chiffrement de bout en bout : le serveur doit pouvoir lire tes données d'école pour les synchroniser.
- Aucun système n'est inattaquable : on réduit les risques, on les mesure, et on affiche ce qui ne va pas.
- Un contrôle en échec reste affiché tant qu'il n'est pas corrigé : on ne cache rien pour avoir un tableau tout vert.
Signaler
Tu as trouvé une faille ?
Merci ! Préviens-nous en privé et ne publie pas les détails avant la correction. Décris ce que tu as vu et comment le refaire, sans toucher aux données des autres élèves.
On te répond, on te dit quand c'est corrigé, et on te remercie ici si tu le veux.
Écrire à l'équipe Notre fichier security.txt
Pas d'adresse sous la main ? Dans l'appli, touche le badge BETA de l'accueil (« Signaler un bug ») et commence ton message par « Sécurité ».
Page revue le 15 octobre 2026 · version 0.9.4