Nous ne revendiquonsque ce qui est en place.
Chaque mesure est publiée avec son état réel : en place, en cours, non revendiqué. Les pages publiées ne mentionnent ni ISO 27001, ni SOC 2, ni SecNumCloud, ni HDS, parce qu'aucune de ces certifications n'est en place à ce jour.
Chiffrement
AES-256-GCM au repos, chiffrement par enveloppe ; clé distincte par version, enveloppée par un service de gestion de clés qui ne reçoit jamais le contenu. La bordure termine les requêtes, pas les documents.
Identité
Comptes, organisations, membres, rôles, clés API ; identités humaines et machines au même cycle de vie ; certificats X.509 ; mots de passe hachés avec Argon2.
Authentification
MFA sur chaque compte ; sessions et appareils enregistrés ; clés API à portée limitée et révocables ; clé éphémère détruite après chaque signature.
Autorisation
Permissions jusqu'à l'objet individuel ; politiques centralisées ; délégations qui enregistrent au nom de qui une action est faite.
Isolation des données
Row-Level Security PostgreSQL en FORCE, en plus du filtre applicatif ; vérification publique via un rôle en lecture seule.
Audit
Journal en ajout seul ; entrées chaînées par arbre de Merkle ; points de contrôle scellés et ancrés dans un registre public.
Gestion des clés
Six usages de clés, chacun avec la sienne ; clés de signature non exportables ; racine de l'autorité de certification conservée hors ligne.
Infrastructure
Pare-feu applicatif, atténuation DDoS et limitation de débit en bordure ; production finalisée pour le 20 novembre 2026.
Personnel
Confidentialité contractuelle, accès limité aux besoins de la tâche, accès à la production nominatif et journalisé.
Là où s'applique le droit du client.
Données des clients français et européens hébergées en France, sous droit européen. Hébergeur français annoncé avant le 20 novembre 2026. Tout changement de sous-traitant fait l'objet d'un préavis de 30 jours avec droit d'objection.
Une adresse, un accusé sous deux jours.
Les vulnérabilités se signalent à security@iron-id.io : accusé de réception sous deux jours ouvrés, aucune poursuite contre la recherche de bonne foi, information du rapporteur jusqu'au correctif et crédit public optionnel.
Aux prospects : présentation d'architecture, revue du modèle de menaces, démonstration de vérification sur leurs propres fichiers.
Détection et qualification
Une personne qualifie chaque alerte et décide s'il s'agit d'un incident de sécurité.
Confinement
Révocation des accès, rotation des secrets, isolation des services si nécessaire.
Notification
Clients affectés et autorité compétente informés dans le délai fixé par le droit applicable ; pour le RGPD, 72 heures pour l'autorité de contrôle.
Rapport
Rapport post-incident remis aux clients affectés.