Sécurité & Confiance — EquiClub × FFE

Sécurité par conception

La sécurité n'est pas une couche ajoutée. C'est la fondation.

L'actualité récente l'a rappelé à tout le secteur : une plateforme qui centralise les données de centaines de milliers de licenciés est une cible permanente. EquiClub n'a pas ajouté la sécurité après coup. Elle a déterminé nos choix techniques dès la première ligne de code, y compris quand ces choix nous ont coûté du temps de développement.

Un langage qui supprime des familles entières de failles

Le cœur d'EquiClub est écrit en Rust. Environ 70 % des failles critiques recensées par Microsoft et par les équipes de Google sur Chromium proviennent d'erreurs de gestion mémoire : dépassement de tampon, lecture après libération. Rust rend ces erreurs impossibles à la compilation : un programme qui les contient ne se construit pas.

Ces failles n'existent pas dans EquiClub. Non parce que nous les avons corrigées, mais parce que le langage interdit de les écrire. Nous n'avons pas choisi le langage le plus rapide à écrire : nous avons choisi celui qui rend certaines fautes impossibles.

Chaque club dans son propre coffre

Les données de chaque club sont isolées dans leur propre espace de base de données, et non mélangées dans des tables communes filtrées par un identifiant. La séparation est structurelle, pas conditionnelle.

Conséquence directe : une erreur de programmation ne peut pas faire apparaître les données d'un club chez un autre. C'est l'une des fuites les plus courantes dans les plateformes multi-clients, et l'architecture d'EquiClub la rend inatteignable.

Chaque évolution passe devant un adversaire

Aucune fonctionnalité n'est mise en production sans une revue de code conduite dans l'esprit d'un attaquant : l'objectif du relecteur n'est pas de valider le travail, mais de le casser. Injections, contournement d'autorisation, accès entre clubs, dépassement de rôle : tout est cherché explicitement.

Des centaines de défauts — dont plusieurs failles potentielles — ont ainsi été identifiés et corrigés avant toute mise en production. Cette méthode est documentée et opposable : elle peut être auditée par la FFE.

Défense en profondeur

Aucune barrière unique ne protège un système. EquiClub en superpose plusieurs : double authentification obligatoire sur les comptes sensibles, jetons d'authentification signés par clé asymétrique et renouvelés à chaque changement de contexte, limitation de débit contre les attaques par force brute, verrouillage automatique, journal d'audit inviolable, surveillance continue.

Si une barrière cède, les suivantes tiennent. Et la trace de la tentative reste, horodatée.

Une promesse, en cinq points.

Voici ce que la FFE et ses adhérents peuvent attendre d'EquiClub en matière de sécurité et de protection des données.

1.

Tout reste en France.

Les données de vos licenciés ne quittent jamais le territoire français. Elles sont hébergées chez OVHCloud, l'acteur français reconnu, dans ses centres de Roubaix, Strasbourg et Paris.

Aucun acteur américain, asiatique ou hors Union Européenne n'a accès aux informations de votre fédération. C'est un engagement contractuel, vérifiable à tout moment.

Serveurs en France, sauvegardes en France, équipes de support en France
Aucune dépendance à Google, Amazon, Microsoft ou autres acteurs étrangers
Droit français exclusif applicable

2.

Une attention particulière pour les jeunes cavaliers.

44 % des licenciés FFE sont mineurs. Nous appliquons à leur protection un niveau supérieur aux exigences légales.

Aucun enfant ne peut s'inscrire sans l'accord explicite de ses parents. Les messages des mineurs sont protégés. Les parents peuvent superviser ce qu'ils estiment devoir superviser, et rien de plus. À 18 ans, le compte devient autonome et tout l'historique parental disparaît.

Accord parental signé numériquement, daté et tracé
Messagerie supervisée par le parent, en lecture seule
Possibilité pour le parent de définir des autorisations différentes par enfant
Effacement automatique des liens parentaux à la majorité

Coffre-fort symbolisant la protection des données

3.

Personne ne lit ce qui ne lui est pas destiné.

Toutes les données sont chiffrées, comme dans un coffre-fort bancaire. Personne — pas même l'équipe EquiClub — ne peut consulter une conversation privée, un palmarès personnel ou un dossier médical sans en avoir le droit.

Chaque utilisateur ne voit que ce qui le concerne. Un cavalier ne voit pas les finances de son club. Un gestionnaire ne voit pas les messages privés de ses adhérents. Un juge ne voit que ses missions. Un parent ne voit que ses enfants.

Chiffrement systématique des données sensibles
Connexion sécurisée par double vérification pour les comptes sensibles
Surveillance permanente des tentatives suspectes
Aucune publicité, aucune revente de données — c'est notre modèle économique qui le garantit

4.

Tout est traçable, rien n'est caché.

Chaque action importante laisse une trace : une connexion, une signature, un consentement, une modification. Ces traces sont conservées six ans, conformément à la loi française.

En cas de contrôle de la CNIL, d'audit fédéral ou de question d'un parent, nous pouvons reconstituer l'historique à la seconde près. Cela protège votre fédération, vos clubs et vos licenciés.

Historique horodaté de chaque action sensible, conservé six ans
Export complet d'un dossier en un clic, sur demande RGPD
Suppression effective sous trente jours en cas de retrait
Notification immédiate à la FFE en cas d'incident, avant même la CNIL

Cinquième et dernière promesse

Nos engagements écrits, vérifiables.

Les promesses orales ne valent rien sans engagement contractuel. Voici ce qu'EquiClub s'engage à fournir, par écrit, à la FFE.

Haute disponibilité

EquiClub repose sur une infrastructure redondante chez OVHCloud, conçue pour garantir une continuité de service maximale. En cas d'incident, nos équipes sont mobilisées pour rétablir rapidement le service.

Audit par des experts indépendants

Une fois par an, un cabinet de sécurité indépendant vient tester nos défenses. Les résultats sont partagés avec la FFE.

Délégué à la Protection des Données dédié

Un DPO interne, joignable directement par la FFE, conseille notre équipe et répond aux demandes des utilisateurs.

Notification d'incident sous 24 heures

En cas d'incident de sécurité, nous prévenons la FFE dans les 24 heures (avant même les 72 heures légales pour la CNIL). Aucun masquage.

En résumé

Quatre chiffres à retenir.

100 %Données en France

24/7Surveillance continue

0Donnée hors d'Europe

6 ansConservation des historiques

Vos données. Protégées.En France.