Sécurité de Leie : votre sécurité et celle de vos enfants comptent
Document de transparence, mis à jour le 8 novembre 2026. Ce que nous protégeons, comment, et ce qui reste à faire. C'est une auto-évaluation : Leie n'est pas certifié.
En une phrase : les données sont cloisonnées famille par famille, le site n'exécute aucun script extérieur, et les trois outils publics de référence lui donnent la note maximale.
Vérifiable par vous, en un clic
Vos données
Ce que nous gardons
- Votre adresse e-mail.
- Le prénom d'usage et la classe de votre enfant.
- Ce que vous faites ensemble dans Leie : activités cochées, petites vérifications, ressenti de la semaine.
Ce que nous ne gardons jamais
- Le nom de famille, la photo ou l'école de votre enfant.
- De mot de passe : la connexion se fait par un code envoyé par e-mail.
- Vos numéros de carte : les paiements passent par Stripe.
- De traceur publicitaire : aucun cookie de suivi, aucun outil d'audience tiers.
Le détail (finalités, durées, droits) est sur la page Données et mentions légales.
Le site
| Contrôle | Statut | Détail |
|---|
| Connexion chiffrée partout | En place | HTTPS obligatoire, TLS 1.2 et 1.3 seulement, sans suite de chiffrement faible. |
| HTTPS imposé au navigateur | En place | Le navigateur retient pendant 2 ans de ne jamais revenir en clair (HSTS). |
| Aucun script extérieur | En place | Une politique de sécurité du contenu stricte : seul le code de leie.fr s'exécute, et les données ne partent que vers notre base. |
| Pas d'affichage piégé | En place | Le site refuse d'être affiché dans la page d'un autre site. |
| Accès matériel refusé | En place | Caméra, micro, position, paiement intégré et USB sont bloqués. |
| Pages privées protégées | En place | L'espace famille n'est ni indexé par les moteurs de recherche, ni gardé en cache. |
| Signalement standard | En place | Fichier security.txt (norme RFC 9116). |
Les données des familles
| Contrôle | Statut | Détail |
|---|
| Cloisonnement par famille | En place | La base elle-même vérifie, à chaque lecture et chaque écriture, que vous n'accédez qu'à vos propres enfants. |
| Rien de lisible sans connexion | En place | Testé le 8 novembre 2026 : un visiteur non connecté ne peut lire aucune table. |
| Hébergement en Europe | En place | Base de données Supabase, région Europe du Nord (Stockholm). |
| Tableau de bord réservé | En place | Les chiffres d'usage ne sont accessibles qu'à l'éditeur, contrôle fait par la base, pas par le navigateur. |
| Analyse automatique | En place | Conseiller de sécurité Supabase : aucune erreur. Les avertissements restants ont été examinés un par un. |
La connexion à l'espace famille
| Contrôle | Statut | Détail |
|---|
| Sans mot de passe | En place | Un code à 6 chiffres, envoyé à votre adresse, valable peu de temps. |
| Sur invitation | En place | Personne ne peut créer de compte seul : c'est fermé côté serveur, pas seulement dans la page. |
| Limites contre les abus | En place | Nombre d'e-mails limité par heure, délai minimum entre deux codes pour une même adresse. |
| Discrétion | En place | Le site ne révèle jamais si une adresse est inscrite. |
Paiements et clés
| Contrôle | Statut | Détail |
|---|
| Paiement délégué | En place | Stripe, certifié PCI DSS niveau 1. Leie ne voit jamais vos numéros de carte. |
| Aucune clé secrète exposée | En place | Vérifié le 8 novembre 2026 dans le code du site et dans tout le dépôt. Seule la clé publique de la base est présente, comme prévu. |
Ce qui reste à faire
- Inscrire leie.fr sur la liste HTTPS préchargée des navigateurs, après vérification des sous-domaines.
- Déclarer l'autorité de certification autorisée pour le domaine (enregistrement CAA) et étudier DNSSEC.
- Tester un isolement plus strict des ressources du site.
- Faire relire la sécurité par un regard extérieur, dès que les moyens le permettront.
Signaler une faille
Écrivez à leieapp@leie.fr, avec « Sécurité » dans l'objet. Nous répondons sous 3 jours ouvrés et vous tenons au courant de la correction. Si vous cherchez de bonne foi, sans accéder aux données d'une autre famille ni gêner le service, nous ne vous en tiendrons pas rigueur. Merci.
Journal des évaluations
| Date | Type | Résultat |
|---|
| 8 novembre 2026 | Auto-évaluation complète (interne, DEZVOLTA) : outils publics, base de données, connexion, dépôt de code | Aucun point grave. 4 durcissements appliqués le jour même (pages privées, signalement, permissions, isolement des fenêtres). |
