Présentation de la sécurité

Introduction

Les utilisateurs d’Evernote nous confient des milliards de notes, projets et idées. Cette confiance repose sur notre capacité à garder ces données à la fois privées et sécurisées. Les informations présentées sur cette page visent à offrir une transparence sur la manière dont nous protégeons ces données. Nous continuerons à enrichir et à mettre à jour ces informations à mesure que nous ajoutons de nouvelles fonctionnalités de sécurité et que nous améliorons la sécurité de nos produits.

Programme de sécurité

La sécurité est assurée par une équipe dédiée au sein d’Evernote. La mission de notre équipe de sécurité est de protéger les données que les utilisateurs stockent dans notre service.

L’équipe participe à la conception de fonctionnalités sécurisées, surveille et répond aux alertes de sécurité, et évalue périodiquement notre infrastructure et nos applications afin de détecter d’éventuelles vulnérabilités. Nos ingénieurs en sécurité évaluent en continu de nouveaux outils afin d’élargir la couverture et la profondeur de ces évaluations et de renforcer la sécurité des données de nos utilisateurs.

Nous surveillons nos systèmes et notre infrastructure à la recherche de signes d’activité suspecte ou de menaces potentielles. Nous recevons des alertes de sécurité en temps réel provenant de diverses sources. Chaque alerte est examinée sans délai, et nous agissons rapidement pour enquêter, contenir et résoudre tout risque identifié.

Evernote propose un programme solide de formation à la sensibilisation à la sécurité dans les 30 jours suivant l’embauche d’un nouveau collaborateur, puis chaque année pour l’ensemble des employés. Nous disposons également d’un ensemble de politiques de sécurité de l’information, transmises à tous les employés dès leur arrivée.

Tous les comptes employés sont protégés par une authentification à deux facteurs (2FA) obligatoire ou des passkeys, afin d’assurer une protection renforcée contre les accès non autorisés.

L’accès repose sur le principe du moindre privilège : les membres de notre équipe ne voient que les informations nécessaires à l’exercice de leurs fonctions. De plus, les accès sont octroyés pour une durée limitée et restreints au strict minimum de services requis. Les autorisations font l’objet de contrôles internes fréquents, d’une application technique rigoureuse et d’une surveillance continue pour garantir leur conformité.

Chez Evernote, nous prenons la sécurité des terminaux très au sérieux afin de garantir que tous les appareils des employés accédant à des systèmes sensibles soient protégés. Chaque appareil utilisé par les employés d’Evernote est :

Géré via Mobile Device Management (MDM) : ce système nous permet d’appliquer des politiques de sécurité, de surveiller à distance la conformité et de gérer les configurations.
Protégé par une solution anti-malware de niveau entreprise, régulièrement mise à jour, qui détecte et bloque les menaces en temps réel.
Mis à jour automatiquement : nous appliquons les mises à jour automatiques du système d’exploitation et des logiciels afin de garantir que les appareils utilisent toujours les derniers correctifs de sécurité.

Pour garder une longueur d’avance sur les menaces en constante évolution, Evernote utilise des outils d’intelligence open source (OSINT) pour surveiller de manière proactive Internet à la recherche de risques de sécurité et de menaces émergentes. Ces informations de sécurité en temps réel nous permettent d’agir rapidement afin d’identifier et de réduire les risques avant qu’ils n’affectent nos systèmes ou nos utilisateurs. Combinée à des alertes automatiques et à une analyse manuelle, cette approche fondée sur l’OSINT constitue un pilier essentiel de notre stratégie de défense à plusieurs niveaux.

Sécurité des produits

La protection de notre service web exposé à Internet est essentielle pour garantir la sécurité des données de nos utilisateurs. Notre équipe de sécurité pilote un programme de sécurité des applications afin d’améliorer l’hygiène du code et évalue régulièrement notre service pour identifier les problèmes de sécurité applicative courants. Ces évaluations sont réalisées par le biais de penetration test annuels menés par un prestataire externe, ainsi que via un programme public de bug bounty sur HackerOne. Toutes les vulnérabilités identifiées sont suivies dans un processus de remédiation basé sur les risques. Les rapports de penetration test sont disponibles sur demande, sous réserve de signature d’un NDA approprié.

Dans le cadre de notre engagement à maintenir les plus hauts standards de sécurité, nous participons chaque année à l’évaluation Google CASA (Cloud Application Security Assessment) de niveau 2. Ce cadre d’évaluation, développé par Google, repose sur le standard reconnu OWASP ASVS (Application Security Verification Standard). Il fournit un ensemble complet et cohérent d’exigences pour renforcer la sécurité de toute application. L’évaluation inclut des tests de sécurité avancés tels que les tests dynamiques de sécurité applicative (DAST), garantissant que nos systèmes soient évalués de manière proactive et continuellement renforcés face aux menaces potentielles.

Nous avons mis en place des alertes et des contrôles pour empêcher certaines opérations critiques ou nous notifier lorsqu’elles sont exécutées. De plus, des journaux d’audit sont activés pour toutes les actions ou opérations effectuées sur les ressources d’infrastructure critiques, telles que les bases de données en production.

Nous utilisons un système sécurisé et centralisé pour gérer et contrôler l’accès aux secrets applicatifs. Des contrôles d’accès fins et une journalisation détaillée des accès permettent de garantir que ces secrets ne soient accessibles qu’aux systèmes et employés autorisés, et uniquement lorsque cela est nécessaire. Tous les secrets sont chiffrés à la fois au repos et en transit, et régis par des politiques strictes d’authentification et d’autorisation.

Chez Evernote, la sécurité est intégrée à chaque étape de notre processus de développement. Notre équipe d’ingénierie logicielle examine et teste minutieusement toutes les modifications de code afin d’assurer stabilité et qualité. Les revues de code sont obligatoires pour tout déploiement en production. Pour les fonctionnalités ayant un impact sur la sécurité, notre équipe de sécurité dédiée est impliquée dès les premières phases, collaborant sur les décisions de conception et menant des revues de code orientées sécurité. Les fonctionnalités critiques sont couvertes par des tests end-to-end pour éviter l’introduction de bogues ou de failles.

Pour sécuriser notre chaîne d’approvisionnement logicielle, Evernote utilise des outils de confiance fournis par des tiers pour surveiller et détecter en continu l’utilisation de versions vulnérables de dépendances. Ces outils analysent notre codebase afin d’identifier des problèmes de sécurité connus dans les bibliothèques et frameworks open source. Lorsqu’une vulnérabilité est détectée, notre équipe d’ingénierie est immédiatement alertée, ce qui nous permet de prioriser les mises à jour ou les mesures correctives nécessaires.

Les environnements de test, de préproduction (staging) et de production sont logiquement séparés. Aucune donnée utilisateur n’est présente dans les environnements de développement ou de test.

Notre service web authentifie toutes les applications clientes tierces à l’aide d’OAuth. OAuth offre un moyen simple et sécurisé pour que les utilisateurs connectent une application tierce à leur compte Evernote sans avoir à transmettre leurs identifiants de connexion. Une fois que l’utilisateur s’est connecté avec succès à Evernote, un jeton d’authentification est renvoyé à l’application cliente, lui permettant d’accéder au service sans stocker les identifiants de connexion de l’utilisateur.

Chaque application cliente connectée à Evernote utilise une API Thrift bien définie pour toutes les actions. En faisant passer toutes les communications via cette API, nous pouvons intégrer des vérifications d’autorisation comme base de l’architecture applicative. Il n’y a pas d’accès direct aux objets dans le service, et chaque jeton d’accès est vérifié à chaque requête pour s’assurer que le client est authentifié et autorisé à accéder à la note ou au carnet de notes demandé. Veuillez consulter notre documentation développeur pour plus d’informations.

Sécurité réseau

Le service Evernote est entièrement hébergé sur la Google Cloud Platform (GCP). Evernote définit les frontières de son réseau à l’aide d’une combinaison de load balancers, de firewalls et de VPN. Ces outils nous permettent de contrôler quels services sont exposés à Internet et de segmenter notre réseau de production du reste de notre infrastructure informatique. L’accès à notre infrastructure de production est strictement limité selon les besoins métier, et une authentification forte est requise pour tout accès.

Toutes les ressources d’infrastructure, y compris celles liées au réseau, sont suivies et définies à l’aide de Terraform, notre outil d’infrastructure-as-code.

Evernote applique plusieurs stratégies et outils de protection contre les attaques DDoS, combinés en couches pour atténuer ce type de menaces. Nous utilisons le CDN avancé de Fastly, doté d’une protection DDoS intégrée, ainsi que les outils natifs de GCP et des techniques de mitigation spécifiques aux applications. Nous surveillons et bloquons les types d’attaques les plus courants à la périphérie du réseau, dans le but d’empêcher tout trafic malveillant d’atteindre nos serveurs.

Sécurité des comptes

Evernote ne stocke jamais les mots de passe des utilisateurs en clair. À la place, nous conservons de manière sécurisée un hachage cryptographique, ce qui garantit que les mots de passe restent protégés, même en cas de violation improbable des données.

Pour renforcer la sécurité des comptes Evernote de nos utilisateurs, nous bloquons l’utilisation de mots de passe trop faciles à deviner, notamment ceux contenant des mots courants ou figurant dans des bases de données de fuites connues, comme celle de Have I Been Pwned. Si un mot de passe est reconnu comme faible ou compromis, l’utilisateur est invité à le réinitialiser pour sa propre sécurité. En complément, nos points d’entrée de connexion sont protégés par une technologie CAPTCHA, ajoutant une couche de défense contre les tentatives de devinette automatique ou les attaques par force brute.

Evernote propose la vérification en deux étapes (2SV), également connue sous le nom d’authentification à deux facteurs ou multi-facteurs, pour tous les comptes. Notre système de 2SV repose sur un algorithme TOTP (mot de passe à usage unique basé sur le temps). Tous les utilisateurs peuvent générer des codes localement à l’aide d’une application sur leur appareil mobile.

Sécurité des courriers électroniques

Evernote permet aux utilisateurs de créer des notes dans leur compte en envoyant des e-mails à une adresse e-mail unique liée à Evernote. Pour se protéger contre les contenus malveillants, nous analysons tous les e-mails que nous recevons à l’aide d’un moteur antivirus commercial.

Lorsque les utilisateurs reçoivent un e-mail de la part d’Evernote, nous souhaitons qu’ils soient sûrs de son authenticité. Pour renforcer la confiance de nos utilisateurs dans la légitimité des e-mails provenant d’Evernote, nous appliquons une politique DMARC stricte. Tous les e-mails envoyés à partir des domaines suivants sont signés cryptographiquement à l’aide de DKIM et proviennent d’une adresse IP autorisée dans notre enregistrement SPF :

@evernote.com
@account.evernote.com
@accounts.evernote.com
@comms.evernote.com
@mail.privacy.bendingspoons.com
@mail.evernote.com
@mail-svc.evernote.com
@messages.evernote.com
@notifications.evernote.com
@nsvc.evernote.com

Ségrégation des clients

Le service Evernote est conçu comme une plateforme multi-locataires, ce qui signifie qu’il ne segmente pas physiquement les données d’un utilisateur de celles d’un autre. Toutefois, nous considérons toutes les données des utilisateurs comme strictement privées et n’autorisons jamais l’accès à ces données par d’autres utilisateurs, sauf si le propriétaire les partage explicitement.

Mise au rebut et destruction de supports

Nous utilisons différentes options de stockage au sein de la Google Cloud Platform, notamment des disques locaux, des disques persistants et des compartiments (buckets) Google Cloud Storage. Nous tirons parti des processus d’effacement cryptographique de Google afin de garantir que le réemploi d’un support de stockage ne mène jamais à l’exposition accidentelle de données privées des utilisateurs.

Journalisation des activités

Le service Evernote effectue une journalisation côté serveur des interactions des clients avec nos services. Cela inclut les logs d’accès aux serveurs web, ainsi que la journalisation des actions effectuées via notre API. Nous collectons également des données d’événements provenant de nos applications clientes. Dans la section Historique des accès des paramètres de compte, les utilisateurs peuvent consulter les heures d’accès récentes ainsi que les adresses IP associées à chaque application connectée à leur compte.

Cryptage du transport

Evernote utilise un chiffrement conforme aux normes de l’industrie pour protéger les données des utilisateurs pendant leur transmission. Nous forçons l’utilisation du protocole HTTPS pour tous nos services via TLS. Le chiffrement est géré par Fastly via notre CDN, ainsi que par la Google Cloud Platform dans certains cas spécifiques.

Nous prenons également en charge STARTTLS pour les emails entrants et sortants. Si le fournisseur de messagerie d’un utilisateur prend en charge le TLS, ses e-mails seront chiffrés en transit, aussi bien à l’envoi qu’à la réception via le service Evernote.

Cryptage au repos

Evernote utilise l’infrastructure de Google Cloud pour l’hébergement de ses centres de données. Les données des utilisateurs que nous stockons sur la Google Cloud Platform sont protégées à l’aide des fonctionnalités de chiffrement au repos intégrées de Google. D’un point de vue technique, nous utilisons la fonction de chiffrement côté serveur de Google avec des clés de chiffrement gérées par Google, afin de chiffrer toutes les données au repos via AES-256, de manière transparente et automatique.

Vous pouvez trouver des informations complémentaires sur le chiffrement au repos et la manière dont il protège les données dans la documentation officielle de Google Cloud.

Résilience/Disponibilité

Evernote est déployé sur une infrastructure cloud publique. Les services sont distribués sur plusieurs zones de disponibilité pour garantir la continuité et sont configurés pour s’adapter dynamiquement en fonction de la charge mesurée ou prévue. Nous exploitons une architecture tolérante aux pannes afin de garantir que le service Evernote reste toujours accessible lorsque les utilisateurs en ont besoin.

En cas de panne majeure dans une région, Evernote est capable de se redéployer rapidement dans une autre région d’hébergement. Nous disposons d’une surveillance dédiée pour détecter toute indisponibilité et réagir rapidement à tout type d’incident.

Notre fournisseur d’infrastructure cloud propose des services de centres de données tolérants aux pannes, y compris pour l’alimentation électrique, le système CVC (chauffage, ventilation, climatisation) et la protection incendie.

Nous publions des mises à jour en temps réel et des historiques de disponibilité de nos services sur notre page de statut.

Nous effectuons des sauvegardes régulières de l’ensemble du contenu des utilisateurs. Nous n’utilisons aucun support portable ou amovible pour les sauvegardes.

Sécurité physique

Nous exploitons le service Evernote en utilisant Google Cloud Platform. Google dispose de nombreuses certifications attestant de sa capacité à garantir la sécurité physique des données hébergées, y compris celles d’Evernote. Vous pouvez consulter davantage d’informations sur la sécurité de Google Cloud Platform dans leur page de présentation dédiée à la cybersécurité.

Sécurité des fournisseurs tiers

Evernote comprend les risques liés à une gestion inadéquate des prestataires. Nous évaluons rigoureusement tous nos fournisseurs avant de collaborer avec eux, afin de nous assurer qu’ils respectent un niveau de sécurité adapté. S’ils ne répondent pas à nos exigences, nous ne poursuivons pas la relation.

Confidentialité et conformité

Toutes les données d’Evernote sont hébergées aux États-Unis. Veuillez consulter notre Privacy Centre pour plus d’informations.