Sécurité, Transparence et Intégrité Financière
Nous appliquons les standards de sécurité les plus rigoureux pour protéger les paiements électroniques, préserver la confidentialité des données et assurer la résilience de nos solutions logicielles en Mauritanie et dans la sous-région.
Vue d'ensemble de l'architecture de sécurité
La plateforme AFRIKYIA repose sur une approche de défense en profondeur (Defense in Depth) et applique le principe du moindre privilège ainsi qu'un modèle Zero-Trust.
Chiffrement strict en transit
Protocole TLS 1.3 obligatoire avec HSTS Preload et chiffrement 256 bits entre les clients et nos passerelles.
En-têtes de sécurité HTTP
Politique CSP stricte, protection X-Frame-Options (anti-clickjacking) et isolation complète du contexte de navigation.
Validation stricte côté serveur
Sanitization et validation schématique rigoureuse de toutes les entrées via des validateurs typés.
Sécurité des paiements et portefeuilles mauritaniens
Notre moteur de règlement est conçu pour neutraliser toute tentative de falsification ou d'usurpation de transaction sur Bankily, Masrvi, Sedad et Click en coordination avec NexConnect.
Vérification en temps constant
Comparaison cryptographique insensible aux attaques d'analyse temporelle (Timing Attacks).
Garantie d'idempotence stricte
Protection contre les double-débits ou les délivrances multiples de licences en cas de rejeu de webhooks.
Contrôle anti-altération des montants
Vérification systématique entre la facture enregistrée et le montant perçu, avec mise en litige automatique en cas d'écart.
Piste d'audit immuable (Audit Trail)
Enregistrement de l'empreinte SHA-256 de chaque notification pour un suivi comptable et forensique infalsifiable.
Évaluations de sécurité et tests indépendants
Nos systèmes font l'objet d'audits systématiques et d'une suite de tests automatisés couvrant les vecteurs de fraude les plus critiques.
| Périmètre audité | Méthodologie | Statut | Résultat vérifié |
|---|---|---|---|
| Webhooks et Passerelles de paiement | Suite TDD & Fuzzing ciblé | Vérifié | 19 scénarios de fraude neutralisés |
| APIs & Interfaces de commande | OWASP API Security Top 10 | Conforme | Isolation stricte des sessions et données |
| Chiffrement de transport & TLS | Qualys SSL Labs Benchmark | Note A+ | TLS 1.3 avec HSTS Preload actif |
| Base de données & Accès SQL | Audit Least Privilege & RLS | Sécurisé | Tables de facturation isolées hors accès public |
Référentiels et standards appliqués
Nous distinguons expressément les référentiels méthodologiques de nos certifications officielles :
OWASP ASVS 5.0
Référentiel d'évaluationNorme de référence guidant la conception et la revue de nos contrôles de sécurité applicative.
OWASP API Security Top 10
Contrôle continuSurveillance contre les failles d'autorisation au niveau objet (BOLA) et les injections.
Alignement PCI DSS (SAQ-A)
Passerelle déléguéeAucune donnée de carte n'est stockée sur nos serveurs ; le traitement est opéré par les institutions bancaires agréées.
Divulgation responsable des vulnérabilités
Nous collaborons volontiers avec les chercheurs en sécurité pour renforcer la protection de nos utilisateurs :
- Signalez toute constatation directement à notre adresse dédiée : security@afrikyia.com
- N'exploitez pas la vulnérabilité au-delà de la preuve de concept (PoC) et ne modifiez aucune donnée utilisateur.
- Accordez-nous un délai raisonnable de 48h à 72h pour investiguer et corriger avant toute divulgation publique.
- Nous accusons réception de chaque signalement étayé et reconnaissons les contributions responsables.
Protection des données personnelles
Nous appliquons une stricte minimisation des données collectées, limitées aux seuls éléments indispensables à la génération des licences logicielles.
Supervision et disponibilité opérationnelle
Nos briques critiques sont surveillées en continu pour garantir un service ininterrompu et une détection proactive des anomalies.