Derniere mise a jour : 18 avril 2026 · Court terme + Moyen terme E2E + Long terme certifications
Ce qui protege déjà vos données aujourd'hui :
Cet accès est necessaire aujourd'hui pour faire fonctionner : l'affichage du webmail, la classification IA opt-in, la recherche full-text, le support technique, la sauvegarde. Il est strictement encadre par les regles d'accès internes et le RGPD.
Les fonctionnalites Briefing IA, Réponses IA et Analyse IA envoient le contenu de vos emails a Anthropic (USA) pour traitement. C'est un opt-in explicite, desactive par defaut, et résiliable a tout moment dans Parametres. Sans opt-in, aucun contenu ne quitte notre infrastructure UE.
Mesures techniques d'amelioration continue. Etat vérifiable en temps reel sur notre page transparence & audits.
Exclusion DES/RC4/3DES/SHA1, AEAD-only (TLS 1.2+). Vérifiable via internet.nl Mail.
HSTS max-age 2 ans + preload, CSP avec base-uri/form-action/object-src/upgrade-insecure-requests, COOP/CORP same-origin, Permissions-Policy etendu, server_tokens off, suppression doublons reverse proxy. Mozilla Observatory : 55 → 80.
Politique MTA-STS publiee en mode enforce sur mta-sts.ecosmail.fr. Reporting TLS-RPT actif.
DMARC en mode strict (rejet des emails usurpes). Fail2ban actif sur les services SMTP/IMAP.
Publie a /.well-known/security.txt. Permet aux chercheurs en sécurité de trouver instantanement le bon contact (security@ecosmail.fr) et la politique de divulgation. Expire 2027-04-18 (a renouveler).
DNSSEC active via panel IONOS. DS 39605/RSASHA256 publie a l'AFNIC, chaine complete racine → .fr → ecosmail.fr. Validation stricte confirmee (Verisign DNSSEC Analyzer + delv : fully validated).
Le panel DNS IONOS ne supporte pas le type d'enregistrement TLSA, ce qui empeche la publication du hash de clé publique requis par DANE. Hash déjà généré et certbot --reuse-key actif pour stabilité. Migration de la gestion DNS vers un operateur compatible (deSEC.io ou equivalent européen, non-profit) a l'etude. Attendu après migration : internet.nl Mail → 95%.
Migration des blocs <script> inline vers fichiers externes pour eliminer 'unsafe-inline'. Mozilla Observatory : 80 → 100.
Logo authentifie dans Gmail, Apple Mail et Yahoo Mail. ~1k€/an pour le VMC chez DigiCert/Entrust.
Soumettre ecosmail.fr a hstspreload.org. Force HTTPS sur tous sous-domaines au niveau navigateur. Decision irreversible — a valider quand on est sur que tout sous-domaine sera en HTTPS pour toujours.
IPv6 actuellement non disponible sur notre VPS IONOS. Une fois alloue : Postfix inet_protocols=all + AAAA mail.ecosmail.fr. Attendu : internet.nl Mail +20pts.
Notre objectif : faire en sorte que le serveur ne voie jamais le contenu en clair. C'est un chantier multi-phases.
Génération X25519/Ed25519 a l'inscription, stockage securise, push payload v2, infrastructure pour echanges chiffres serveur-vers-mobile.
L'app mobile EcosMail dechiffre les payloads E2E cote client. C'est le verrou technique principal. Une fois livre, les notifications push deviennent reellement E2E entre operations serveur et device.
Tous les messages directs entre utilisateurs EcosMail sont chiffres avec les clés X25519 du destinataire. Le serveur stocke uniquement le ciphertext.
Pour les echanges avec des contacts externes (Gmail, etc.), support optionnel d'OpenPGP via le standard Autocrypt. Compatibilite Thunderbird, Proton, Mailvelope.
Trajectoire en trois etages, calibree pour startup européenne pragmatique. Vérifiable et auditable a chaque étape.
Pouvoir dire « nous sommes serieux » sans mentir. Tout est gratuit, c'est du temps.
Avoir une « preuve audit-friendly » vérifiable par tout prospect B2B.
Audit cible app + infra par cabinet français reconnu (Almond, Synacktiv, Lexfo). Attestation de remediation publiable (rapport détaille reste confidentiel).
Cloud Security Alliance STAR Registry, Level 1 (self-attestation gratuite via questionnaire CAIQ ~300 questions, ~3-5 jours de redaction). Badge utilisable + entree au registre public CSA.
Assureur européen (Stoik, Hiscox, Coalition). Couverture incident cyber + breach notification. Demande par 80% des prospects B2B.
Audit CASA via Securitum (Pologne) ou DEKRA (Allemagne) requis pour deplacer le scope gmail.readonly hors mode « Testing » (>100 users). A evaluer après traction.
Microsoft est beaucoup plus permissif que Google. Verification gratuite via Microsoft Partner Network.
Declenchee quand le revenu / les clients B2B le justifient. Choix strategique entre privacy-first (Europrivacy) ou enterprise-ready (ISO 27001).
Audit complet de l'architecture E2E par cabinet reconnu (Quarkslab pour la crypto, Synacktiv en generaliste, Cure53 pour le crypto/web). Rapport public. Declencheur : livraison Phase 2.
Europrivacy (10-20k€, 4-8 mois) : seule certification GDPR formellement reconnue (Article 42). Audience : DPO français, secteur public, RH/santé. Cabinets EU : Bureau Veritas, AFNOR Cert, ECCP.
ISO 27001:2022 (25-40k€, 6-12 mois) : standard global enterprise, demande par DSI grandes boites. Cabinets EU : Bureau Veritas, LRQA, DEKRA, AFNOR. Extension ISO 27701 (+10-15k€) ajoute le volet privacy.
Dossier ANSSI gratuit + audit prestataire qualifie pour le constituer. Differenciant marketing français. Decision ANSSI ~6 mois.
| Terme | Signification |
|---|---|
| Chiffrement au repos | Données stockees sur disque sont chiffrees. Accessible au serveur en cours d'execution. |
| Chiffrement en transit | Données protegees pendant le transport réseau (TLS). |
| E2E (end-to-end) | Chiffrement cote client : seuls expediteur et destinataire ont accès au contenu en clair. Le serveur ne voit que du ciphertext. |
| X25519 | Algorithme d'echange de clés asymetriques (Diffie-Hellman sur courbe elliptique). |
| Ed25519 | Algorithme de signature numérique. Sert a prouver l'identité. |
| AES-256-GCM | Chiffrement symetrique AES 256 bits avec mode GCM (authentifie). Standard militaire. |
| Autocrypt | Standard d'echange de clés OpenPGP par email. Permet le E2E avec Gmail, Proton, etc. |
→ Transparence & audits externes — tous nos scores sécurité mesures par des outils publics open-source (internet.nl, SSL Labs, Hardenize, etc.) avec liens de verification directe.
Question, signalement, suggestion : security@ecosmail.fr
Cette page est volontairement détaillée. Si quelque chose vous semble inexact ou trompeur, dites-le nous — nous corrigerons.