La sécurité et vos données

Comment TimTim.Live protège les partenaires, les acheteurs et leurs données. Tout ce qui est sur cette page décrit comment ça marche aujourd'hui.

Clés et connexion

Nous montrons une clé secrète une seule fois. Nous gardons seulement une copie brouillée (un hachage SHA-256), donc même nous ne pouvons pas la lire.
Les clés test et les clés réelles sont séparées. Les clés test voient seulement des événements d'exemple et ne touchent jamais à de l'argent réel.
Une clé site web marche seulement sur les sites web que vous mettez dans sa liste.
Vous vous connectez avec un lien à usage unique envoyé à votre e-mail. Il n'y a pas de mot de passe partenaire à voler.
Chaque personne de votre équipe a sa propre connexion et seulement l'accès dont son travail a besoin.

OAuth 2.0 : échangez votre identifiant client et votre secret contre un jeton qui dure une heure.
Verrou par adresse de serveur : une clé marche seulement depuis les serveurs que vous mettez dans la liste.
Verrou par certificat (mTLS) sur api.timtim.live : une clé marche seulement avec votre propre certificat TLS.

Chaque adresse TimTim.Live utilise HTTPS. On dit aux navigateurs de ne jamais utiliser le simple HTTP avec nous.

Chaque webhook est signé avec HMAC-SHA256 et l'heure de son envoi. Refusez tout ce qui a plus de cinq minutes.
Vos secrets de webhook sont gardés chiffrés (AES-256-GCM).
Nous n'envoyons jamais de messages à des adresses de réseau privées ou internes, et nous ne suivons jamais les redirections.

Nous ne donnons jamais aux partenaires le nom, l'e-mail, l'adresse, le numéro de téléphone ou les données de carte d'un acheteur.
Les paiements par carte se font sur la propre page de paiement sécurisée de Stripe. Les numéros de carte n'arrivent jamais sur les serveurs de TimTim.Live.
Les liens d'achat sont signés, donc personne ne peut fabriquer un faux lien pour vous prendre le crédit.

Nos serveurs sont aux États-Unis, à Ashburn, en Virginie (Oracle Cloud).
Ces services traitent des données pour nous : Stripe (paiements), Cloudflare (protection du réseau), Oracle Cloud (serveurs) et Resend (e-mail).

Historique d'envoi des webhooks : 30 jours.
Jetons OAuth terminés : un jour, puis supprimés.
Vérifications de statut : 90 jours.
L'usage de l'API est compté par jour. Nous ne gardons jamais vos clés ni ce que vous envoyez dans ces comptes.

Nous vérifions chaque partie publique toutes les minutes depuis Internet. Vous pouvez voir les résultats sur notre page de statut.
Notre équipe reçoit une alerte si le site ne répond plus.
Pour approuver des partenaires et envoyer de l'argent, il faut un membre du personnel nommé qui a cette permission. Il n'y a pas de mot de passe partagé pour ça.

Nous n'avons pas encore de rapport SOC 2 ni de certificat ISO 27001.
Aucune entreprise extérieure n'a encore testé notre sécurité (un test d'intrusion).
Nous n'avons pas de programme payant de chasse aux bugs (bug bounty).
Nous mettrons cette page à jour quand l'un de ces points changera.

Si une clé a peut-être fuité, désactivez-la sur votre tableau de bord. Elle arrête de marcher tout de suite. Puis créez-en une nouvelle.
Vous avez trouvé un problème de sécurité ? Écrivez à [email protected]. Une vraie personne lit chaque signalement.
Merci de ne pas faire de tests sur les données d'autres personnes, et de nous laisser le temps de corriger un problème avant d'en parler.