Sécurité et confidentialité, en clair

Connectez-vous avec une clé d’accès, ou avec un mot de passe et un code d’authentification. Des codes de secours couvrent la perte du téléphone.

Les mots de passe comptent au moins 12 caractères, sont comparés à une liste de mots de passe divulgués et stockés sous une forme brouillée, volontairement lente et coûteuse à casser.

Une connexion depuis un nouvel appareil déclenche une alerte. Vous pouvez consulter les sessions actives, en fermer une ou vous déconnecter partout.

Les tentatives de connexion sont limitées par adresse et par compte, et l’inscription utilise une courte vérification automatique dans votre navigateur plutôt qu’un test tiers. L’inscription peut être réservée aux invitations, et les adresses de rôle comme les noms imitant d’autres sont réservés.

Les applications de mail, d’agenda et de contacts de votre téléphone ou ordinateur se connectent toujours avec un mot de passe d’application ; le mot de passe de votre compte n’y est jamais accepté. Chaque mot de passe d’application se révoque à part.

Plusieurs mauvais mots de passe d’affilée verrouillent la connexion pendant un moment, par adresse et par compte, avec un même compteur pour toutes les applications qui se connectent à votre compte. Deviner depuis de nombreuses adresses à la fois ne mène pas loin.

Un nouveau téléphone est approuvé en faisant correspondre un nombre sur un appareil de confiance, ou avec un code reçu par mail ou de validation en deux étapes.

Chaque application mobile détient une clé qui ne peut pas quitter le composant sécurisé du téléphone et signe chaque requête avec elle. Une connexion copiée ne sert à rien seule.

Téléphone perdu ? Déconnectez-le ou effacez-en les données Woosool depuis les paramètres de sécurité de votre compte.

Aman chiffre tout dans votre navigateur avec un chiffrement fort, à partir de clés tirées de votre mot de passe maître d’une façon volontairement lente et coûteuse à deviner. Woosool ne stocke que des données chiffrées et ne peut pas réinitialiser votre mot de passe maître.

Le courrier stocké et ses pièces jointes, les fichiers que vous envoyez sur Khazna ainsi que les pièces jointes de Lamma sont chiffrés au repos avec un chiffrement fort. Votre courrier est acheminé de façon sécurisée vers les fournisseurs qui le permettent, et toujours vers ceux qui l’exigent.

Woosool Barid prend en charge le courrier chiffré de bout en bout, compatible avec les autres messageries sécurisées, avec des clés de chiffrement personnelles ou des certificats délivrés à votre organisation. Les deux fonctionnent dans le navigateur ; l’application Android prend en charge les clés personnelles, les certificats étant pour l’instant réservés au web. Les messages et pièces jointes sont chiffrés sur votre appareil avant l’envoi ; seules les clés de vos destinataires peuvent les déchiffrer, et les serveurs de Woosool stockent et acheminent un texte chiffré qu’ils ne peuvent pas lire.

Votre clé privée est protégée par une phrase secrète que vous seul connaissez. La sauvegarde facultative de la clé est chiffrée avec cette phrase, renforcée pour être lente et coûteuse à deviner ; Woosool ne la voit jamais et ne peut pas la réinitialiser. Le chiffrement est automatique quand chaque destinataire a une clé, que Barid recherche pour vous, et il fonctionne avec les autres messageries sécurisées.

Pour les personnes sans chiffrement, vous pouvez envoyer un message protégé par mot de passe qu’elles ouvrent dans leur navigateur ; il expire au bout de 30 jours au plus. Elles peuvent répondre de façon chiffrée depuis la même page, pièces jointes comprises.

Le courrier chiffré fonctionne avec Cci : chaque destinataire en Cci reçoit sa propre copie chiffrée, si bien que personne ne voit qui d’autre l’a reçue. Les certificats sont vérifiés pour s’assurer qu’ils n’ont pas été révoqués.

Enregistrez la clé de chiffrement d’une personne sur sa fiche Woosool Nass, et Barid l’utilise pour chiffrer vos messages.

Activez le chiffrement de bout en bout dans Wasla : la clé n’existe que dans le lien de la réunion. Il couvre l’audio, la vidéo, le chat et les images du tableau blanc, et désactive l’enregistrement.

Les messages de Lamma et les documents sont chiffrés en transit, mais pas de bout en bout, afin que la recherche et la collaboration fonctionnent côté serveur. Le courrier n’est chiffré de bout en bout que si vous le chiffrez. Même alors, l’expéditeur, les destinataires, la date et la taille d’un message restent visibles pour les serveurs de messagerie (l’objet est masqué par défaut), et les messages chiffrés ne peuvent être ni recherchés par leur contenu ni analysés contre le spam ou les virus.

Le courrier entrant est vérifié pour confirmer qu’il vient bien du domaine de l’expéditeur, passe par un filtre anti-spam et est analysé contre les logiciels malveillants. Si l’analyseur est indisponible, le courrier attend au lieu d’arriver sans analyse.

Les messages qui échouent à l’authentification de l’expéditeur sont signalés, et les images distantes restent bloquées jusqu’à ce que vous les chargiez.

Votre courrier est acheminé de façon sécurisée vers les fournisseurs qui le permettent, et Barid vérifie qu’il s’adresse au bon serveur. Lorsque le fournisseur du destinataire exige un acheminement sécurisé, le courrier n’est jamais envoyé en clair : si le serveur ne peut pas être vérifié, la livraison attend et réessaie. Les notifications push vers vos appareils ne contiennent aucun contenu de message.

Des rapports quotidiens sur l’acheminement sécurisé et la vérification des expéditeurs sont envoyés aux domaines qui les demandent, et les rapports que d’autres fournisseurs envoient sur vos domaines s’affichent dans la console d’administration.

Chaque fichier envoyé dans Khazna, Qalam, Jadwal, Sard, Fikra, Sual, Lamma, Injaz et Loon est analysé contre les logiciels malveillants, et refusé si l’analyse ne peut pas avoir lieu.

Les liens Khazna peuvent avoir un mot de passe, une date d’expiration et le téléchargement désactivé. La révocation est immédiate.

Les organisations disposent d’un journal d’audit dans le panneau Entreprise, et Lamma, Aman et Injaz tiennent leurs propres journaux pour les administrateurs.

Fixez la longueur minimale des mots de passe, exigez la validation en deux étapes, limitez la durée des sessions, autorisez les clés d’accès et choisissez quels groupes utilisent quelles applications.

Exportez les données de votre compte à tout moment. La suppression demande votre mot de passe et prévoit un délai de grâce de 14 jours, annulable.

Les applications Woosool ne chargent aucun script tiers, et les mails de sécurité ne contiennent ni pixel de suivi ni image distante.