Comment JotForm est-il sécurisé ?

256 Bit SSL

Quel que soit votre abonnement, tous vos formulaires sont offerts via une connexion sécurisée SSL (Secure Socket Layer) 256 bits qui utilise un certificat SHA256. Il s'agit du même niveau de protection que celui utilisé par les prestataires de services bancaires en ligne ou de commerce électronique. En savoir plus

Formulaires cryptés

Vous pouvez facilement crypter vos formulaires pour vous assurer que les données de soumission sont transférées et stockées dans un format sécurisé et que personne d'autre que vous ne peut les lire. Les soumissions sont cryptées directement sur l’ordinateur de l'utilisateur sous RSA 2048 de haute qualité, puis transférées et stockées en toute sécurité sur nos serveurs. En savoir plus

Certification PCI

JotForm est conforme au niveau 1 du fournisseur de services PCI DSS, le niveau de sécurité le plus élevé que vous puissiez obtenir en tant qu'entreprise qui collecte des paiements et s'intègre avec des cartes de crédit. En savoir plus

Conformité RGPD

JotForm est entièrement conforme au Règlement général sur la protection des données (RGPD) de l'Union européenne, loi qui a pris effet le 25 mai 2018. Elle s'applique à toute entreprise qui collecte des données en Europe ou à partir de l'Europe. En savoir plus

Conformité CCPA

JotForm est conforme à la California Consumer Privacy Act (CCPA), qui protège les résidents de la Californie en obligeant les entreprises à gérer leurs données en ligne et hors ligne de manière responsable. En savoir plus

Conformité HIPAA

Les prestataires de soins de santé collectent des informations sur les patients via les formulaires JotForm conformes à la loi HIPAA. Un accord de partenariat commercial (BAA) est également disponible sur demande. En savoir plus

Protection anti-spam

En plus des Captcha que vous pouvez utiliser dans vos formulaires, nous avons plusieurs autres options pour protéger vos formulaires contre les spammeurs. Par exemple, vous pouvez choisir d'autoriser une seule soumission par IP ou ordinateur, ou vous pouvez désactiver votre formulaire après une heure ou un nombre spécifique de soumissions. En savoir plus

Confidentialité du formulaire

Dans les paramètres de confidentialité, vous pouvez limiter l'accès à vos données en fonction du niveau de confidentialité que vous choisissez. Vous pouvez également désactiver le clonage de vos formulaires ou demander une connexion pour accéder à une soumission (celle-ci est protégée par défaut via des URL uniques).

Comment rendre vos formulaires encore plus sûrs ?

Cryptez vos formulaires

Vous pouvez facilement crypter vos formulaires pour vous assurer que les données de soumission sont transférées et stockées dans un format sécurisé. JotForm utilise l'algorithme RSA-2048 lors du chiffrement de vos données de formulaire. Étant donné que vous possédez votre clé de chiffrement, faites attention à la stocker. Si vous perdez votre clé, il n'est plus possible d'accéder à vos données cryptées.

Lorsque vous activez cette fonctionnalité et recevez une soumission, les e-mails de notification envoyés par JotForm ne contiennent aucune donnée de soumission de formulaire. Vous pouvez en savoir plus sur la façon de crypter vos formulaires ici.

Les téléchargements de fichiers ne sont pas couverts par cette fonctionnalité. Vous pouvez en savoir plus sur la sécurité du téléchargement de fichiers à partir de cette publication .

Définir la confidentialité de vos formulaires et données

L'accès aux soumissions d'un formulaire est protégé et nécessite une connexion au compte propriétaire de ce formulaire. Cependant, une seule soumission peut être consultée si l'URL unique et presque impossible à deviner de cette seule soumission est connue. Si vous pensez que vous souhaitez une confidentialité supplémentaire, vous pouvez ajouter une couche de protection supplémentaire et exiger une connexion en plus de la sécurité fournie par une URL unique.

Étant donné que vous avez la propriété totale de vos formulaires et soumissions, l'accès à vos données n'est accordé qu'avec votre permission lorsque vous utilisez un widget d'intégration et / ou une application. Soyez assurés que nous traitons vos données avec la plus grande confidentialité.

Sauvegarde de vos données

Vous pouvez sauvegarder vos données en un seul clic depuis l'onglet « Données » dans les paramètres de votre compte. Lorsque vous déclenchez une opération de sauvegarde, nous commençons à préparer un fichier ZIP unique qui contient le code HTML de vos formulaires, une exportation CSV de vos soumissions de formulaires et tous les fichiers téléchargés.

Ces sauvegardes peuvent être téléchargées ou stockées dans notre base de données. Si vous souhaitez uniquement sauvegarder vos formulaires, il est également possible de télécharger leur code source au format zip et de les stocker dans votre stockage local à partir des options de publication.

Gardez vos formulaires à l'abri des spammeurs

JotForm propose deux alternatives CAPTCHA différentes pour limiter la possibilité des bots de remplir votre formulaire, tout en conservant la tâche facile pour les gens. Vous pouvez soit utiliser un CAPTCHA de base ou reCAPTCHA, comme fourni par Google.

Nous avons également mis en œuvre plusieurs contrôles de codage au cours du processus de soumission pour analyser si la soumission provient d'une personne. Si le spam passe, notre équipe d'assistance disponible 24/7 vous aidera à identifier la cause et à créditer votre compte, si nécessaire.

En tant que protection supplémentaire contre le spam, vous pouvez également limiter les soumissions à votre formulaire afin qu'une seule soumission puisse être effectuée à partir d'une adresse IP ou d'un ordinateur. Si vous préférez, vous pouvez également activer les deux pour une meilleure protection. En outre, vous pouvez également choisir de désactiver vos formulaires à un moment précis ou après qu'une limite de soumission spécifique a été atteinte.

Accords de Niveau de Service

JotForm dispose d'un taux de disponibilité presque parfait de 99,9%, vous pourrez donc toujours accéder à vos données. Vous pouvez vérifier l'état opérationnel de JotForm en temps réel ici.JotForm Entreprise s'engage à respecter des taux de réponse aux erreurs, des délais de résolution et des ratios de disponibilité indiqués dans votre contrat de niveau de service (SLA) spécifique. Si ces objectifs ne sont pas atteints, vous recevrez un remboursement partiel comme convenu dans l'accord commercial signé.

Quelles mesures prenons-nous pour protéger vos données ?

Centres de données

Les serveurs JotForm sont colocalisés dans une architecture cloud avec Google Cloud et Amazon Web Services (AWS). Les centres de données Google Cloud sont hébergés dans l'Iowa (États-Unis). Les centres de données AWS sont situés à la fois en Allemagne, à Francfort (UE) et aux États-Unis, en Virginie (US).

Nos serveurs d'applications et de données redondantes sont hébergés par Google Cloud dans une configuration active-active et toutes les données sont également copiées en continu sur les serveurs AWS. Cela fournit une redondance au niveau de la plate-forme en plus de la redondance obtenue avec plusieurs serveurs au sein d'une seule plate-forme. Dans le cas où nous devons passer de la plate-forme principale (Google Cloud) à la plate-forme secondaire (AWS), cette architecture nous aide à changer facilement et rapidement.

L'hébergement de JotForm sur ces principales plates-formes cloud nous offre également des avantages supplémentaires en termes de mise en œuvre des meilleures pratiques de sécurité dans des domaines tels que la gestion du cycle de vie du matériel, la sécurité physique et l'infrastructure réseau. Nos serveurs sont constamment mis à jour et corrigés.

Emplacements de serveurs dédiés

Si vous êtes un utilisateur JotForm Entreprise , vous pouvez choisir l'emplacement physique de votre serveur cloud dédié et héberger vos données dans n'importe quelle partie du monde - ceci est particulièrement important pour se conformer aux règles de confidentialité des données et aux exigences de localisation dans des endroits tels que l'Australie, le Canada, le Royaume-Uni et l'UE. Que vous choisissiez de garder votre serveur de données près de chez vous ou de votre public, vous bénéficierez d'une meilleure sécurité, fiabilité et temps de réponse du site. Seuls les utilisateurs et administrateurs de votre compte Entreprise pourront accéder à votre serveur de données.

Politique de sauvegarde / continuité des activités

Nous copions vos données en continu (sauvegarde en temps réel) entre plusieurs serveurs hébergés par notre principal fournisseur de services Google Cloud. De plus, toutes les données sont également copiées sur AWS (notre plate-forme secondaire) en temps réel. Nous prenons des instantanés de toutes nos données toutes les heures. Chaque instantané est stocké pendant 30 jours dans l'environnement cloud.

Authentification unique (SSO)

Avec un compte JotForm Entreprise, vous pouvez avoir accès à l'identification unique. Une connexion tierce renforce la sécurité tout en facilitant le travail en équipe de vos employés, ce qui favorisera également en retour la bonne marche de votre société. Vous pouvez toujours décider des méthodes de connexion, contrôler les actions des utilisateurs et garder le contrôle de la sécurité de votre compte.

Vous pouvez également protéger par SSO les formulaires internes avec JotForm Entreprise. Les utilisateurs devront être authentifiés avant d'afficher votre formulaire. De cette façon, lorsque vous collectez des données sensibles sur une personne, vous pouvez vous assurer que la personne qui soumet le formulaire est bien celle qu'elle prétend être.

Encourager les bonnes pratiques de codage

En plus d'implémenter des fonctionnalités qui augmentent la sécurité, nous maintenons les meilleures pratiques en backend pour garantir la sécurité de votre compte. Nous surveillons les sessions pour restreindre l'accès à votre compte de manière appropriée et avons construit JotForm de manière à ce que chaque compte soit isolé.

Nous avons mis en place des protections pour détecter les attaques courantes, telles que l'injection SQL et les scripts intersites. Plus important encore, nous examinons activement notre code pour détecter d'éventuels problèmes de sécurité (en plus d'évaluer tous les commentaires des utilisateurs) afin de pouvoir résoudre tout problème s'il survient. Notre politique de confidentialité témoigne de notre niveau d'engagement à garantir que vos données ne sont pas utilisées à mauvais escient.

Tout le code développé est déployé dans l'environnement de production uniquement après certaines procédures, y compris les tests exécutés sur les systèmes de transfert. Notre système de déploiement continu et notre processus de développement nous permettent de mettre à jour et de corriger rapidement notre système en cas de besoin.

Audits de sécurité

Des analyses PCI sont effectuées pour détecter régulièrement tout type de vulnérabilité des interfaces accessibles au public. Chaque trimestre, des tests internes et externes ASV (Approved Scanning Vendor) sont effectués pour PCI. En plus de ces analyses PCI, des Pen-tests sont effectués périodiquement pour JotForm.

Nous avons également un programme Bug Bounty où nous payons des tiers pour signaler les vulnérabilités, ce qui garantit que nous sommes les premiers informés lorsqu'il y en a. Nous corrigeons tous les problèmes signalés à notre programme de bug avec la plus haute priorité dans les plus brefs délais.

Sécurité du réseau

Nous avons une couche de routage externe fournie par CloudFlare qui fournit un filtrage de base pour gérer et gérer toutes les attaques DDoS (déni de service) potentielles. Des analyses de sécurité sont effectuées périodiquement comme décrit dans le chapitre audits / VA / PT. Nos serveurs sont configurés pour n'autoriser que le niveau d'accès minimum absolu nécessaire pour les maintenir.

Tous les utilisateurs, protocoles et ports inutiles sont désactivés et surveillés. Nos employés peuvent accéder aux serveurs uniquement via un réseau privé virtuel en utilisant une connexion cryptée de 2048 bits avec des clés privées. En plus des services de sécurité tiers, notre équipe expérimentée en opérations de développement surveille en permanence tout comportement suspect sur l'ensemble du système.

Sécurité du compte

Toutes les informations de compte sont automatiquement cryptées lors du transfert. À moins que vous ne partagiez votre nom d'utilisateur et votre mot de passe avec d'autres personnes, vous seul avez accès à vos formulaires et soumissions. Vous pouvez ajouter plusieurs utilisateurs à votre compte avec JotForm Entreprise.

Options de sécurité personnalisables

Quel que soit le secteur dans lequel vous travaillez, JotForm souhaite vous aider à créer des contrôles de sécurité qui correspondent parfaitement à vos besoins. En tant qu'utilisateur Entreprise, vous pouvez facilement demander l'ajout, l'activation ou la désactivation de paramètres de sécurité spécifiques à votre serveur dédié ! Contactez notre équipe Entreprise pour en savoir plus.

Questions & réponses

questions de sécurité formulaire

  • Y-a-t-il des fonctionnalités de sécurité disponibles dans les formulaires ?

    Oui. Vos formulaires sont offerts via une connexion SSL (Secure Sockets Layer) 256 bits protégée. Lorsque vous choisissez de crypter vos formulaires, les soumissions sont transférées et stockées après avoir été cryptées avec la clé RSA-2048 sur le navigateur Internet de l'utilisateur. De plus, vous pouvez activer une protection supplémentaire pour la confidentialité et contre le spam, comme défini dans la section ci-dessus « Comment rendre vos formulaires encore plus sûrs? ».

  • Stockez-vous toutes les données de formulaire cryptées ? Envoyez-vous des e-mails de notification pour les formulaires cryptés ?

    Si vous souhaitez crypter vos formulaires, les soumissions sont transférées et stockées cryptées. Cependant, les téléchargements de fichiers ne sont pas cryptés. Les e-mails de notification pour ces formulaires ne peuvent contenir aucune donnée de soumission et ne sont donc pas cryptés.

  • Nos données sont-elles protégées, en transit et en stockage, si nous devions utiliser votre système ?

    Oui, si vous cryptez votre formulaire, les données de soumission sont cryptées directement sur le navigateur Internet de l'utilisateur avec RSA 2048. Ces données cryptées sont à nouveau cryptées lors de la transmission à nos serveurs avec un cryptage SSL 256 bits. Et quand il atteint nos serveurs, SSL est décrypté et il est stocké sous forme cryptée dans l'ordinateur de l'utilisateur avec la clé RSA 2048.

  • Les moteurs de recherche peuvent-ils indexer mes données de formulaire ?

    JotForm décourage les moteurs de recherche d'indexer les soumissions. Les utilisateurs peuvent également limiter l'accès aux soumissions à leurs propres comptes s'ils le souhaitent et rendre leurs soumissions inaccessibles au public.

Questions sur la sécurité des données

  • Comment stockez-vous les fichiers téléversés sur mes formulaires ?

    Les fichiers téléchargés vers vos formulaires se voient attribuer une URL très complexe. Seules les personnes possédant cette dernière peuvent télécharger ces fichiers. Cependant, si vous souhaitez augmenter la sécurité pour ces fichiers téléchargés, vous pouvez en restreindre l'accès. Par exemple, pour pouvoir télécharger ces fichiers, vous devez être connecté à votre compte JotForm dans le même navigateur. Vous pouvez en savoir plus sur cette fonctionnalité ici.

  • Quelles sauvegardes effectuez-vous ? Quelles sont les politiques de sauvegarde pour le stockage cloud ?

    Nous répliquons en continu (sauvegarde en temps réel) vos données entre plusieurs serveurs hébergés par notre principal fournisseur de services Google Cloud. De plus, toutes les données sont également répliquées sur AWS (notre plate-forme secondaire) en temps réel. Nous prenons des instantanés de toutes nos données toutes les heures. Chaque instantané est stocké pendant 30 jours dans un environnement cloud.

  • Votre organisation gère-t-elle les transactions par carte de crédit ou les informations ? Si oui, êtes-vous conforme à la norme PCI DSS ?

    JotForm est conforme à la norme PCI DSS et est certifié par le fournisseur de services PCI DSS (Payment Credit Industry Data Security Standard), le niveau de sécurité le plus élevé que vous puissiez obtenir en tant qu'entreprise qui collecte des paiements et s'intègre avec des cartes de crédit. Autrement dit, alors que la plupart des paiements sont traités sur la page native de la passerelle de paiement, avec PayPal Pro, Authorize.Net, Worldpay US et PayJunction, les informations de carte de crédit sont traitées sur nos serveurs PCI, mais ne sont en aucun cas stockées. en savoir plus ici.

  • Quelles sont les normes de sécurité de JotForm (HTTPS/Cryptage) ?

    Par défaut, JotForm utilise la norme de connexion TLSv1.2 en plus du chiffrement SHA256 / RSA pour HTTPS. Pour le chiffrement des soumissions de formulaires, JotForm utilise des clés RSA à 2048 bits.

  • Comment empêchez-vous les injections XSS et SQL ?

    Nous appliquons les meilleures pratiques pour éviter de telles vulnérabilités et nous examinons activement notre code pour d'éventuels problèmes de sécurité. De plus, nous évaluons tous les commentaires des utilisateurs et les rapports du programme de primes dans les plus brefs délais.

  • Comment garantissez-vous la sécurité contre les attaques malveillantes ?

    Nous utilisons CloudFlare pour le spam, le phishing et la protection contre les attaques DDOS et OSSEC et pour la détection des intrusions et la surveillance de nos serveurs.

  • Qui a accès aux informations recueillies dans notre base de données sur JotForm ?

    Nos serveurs ont un accès restreint par réseau et niveau d'authentification. Au niveau du réseau, seul un nombre limité de points d'entrée VPN sont autorisés et le reste des demandes de connexion est complètement bloqué par notre pare-feu. Au niveau de l'authentification, seule l'équipe des opérations de développement, plus notre CTO et notre PDG, ont les informations d'identification pour accéder à ces serveurs.

  • Effectuez-vous des évaluations de vulnérabilité internes ou externes ou des tests de pénétration ?

    Oui. En plus des analyses PCI internes et externes, des Pen-tests sont effectués périodiquement pour JotForm. Nous avons également un programme de primes grâce auxquels des tiers peuvent signaler des failles. Vous pouvez en savoir plus à ce sujet dans la section Audits de sécurité ci-dessus.

  • Quelle est la politique de complexité de votre entreprise en matière de mots de passe ?

    Nous n'appliquons pas de politique de complexité des mots de passe. Les mots de passe sont cryptés par salage et selon le protocole SHA-256.

  • Votre entreprise a-t-elle une politique de détection des intrusions ?

    JotForm possède des instances HIDS (Host Intrusion Detection System) sur les serveurs d'applications et des instances NIDS (Network Intrusion Detection System) dans ses bureaux de développement. De plus, des politiques de détection d'intrusion PCI sont appliquées, telles que définies par les exigences PCI.

  • Quel type de diligence raisonnable est effectué sur les employés de votre organisation ?

    Tous les employés de JotForm doivent passer un processus de sélection rigoureux au moment de l'embauche. De plus, tous les employés doivent signer et sont liés par un accord de non-divulgation (NDA).

Questions sur les centre de données

  • Que sont la sécurité des données dans votre centre de données et tous les certificats disponibles liés à la sécurité des données, à la confidentialité des données, à la transmission sécurisée des données, etc. Un rapport de conformité SOC 2 ?

    Tous les centres de données où nous hébergeons nos serveurs ont le plus haut niveau de conformité aux normes de sécurité. Notre plate-forme principale est Google Cloud et elle est conforme SSAE16 / ISAE 3402 Type II, SOC1, SOC2, SOC3, ISO 27001, ISO 27017 (Cloud Security), ISO 27018 (Cloud Privacy), PCI DSS v3.2 et HIPAA. Vous pouvez trouver plus d'informations sur la conformité de Google Cloud sur https://cloud.google.com/security/compliance.

    Notre plateforme secondaire, Amazon Web Services (AWS), est conforme aux normes SOC1, SOC2, SOC3, ISO 27001, ISO 27017 (Cloud Security), ISO 27018 (Cloud Privacy), PCI DSS Level 1 et HIPAA. Vous pouvez trouver plus d'informations sur la conformité AWS sur https://aws.amazon.com/compliance/. Si vous avez besoin de plus d'informations sur la sécurité de nos centres de données, veuillez compléter ce formulaire.

  • Où est le datacenter ? Avez-vous des serveurs internes ?

    Nous utilisons deux plates-formes cloud différentes pour héberger nos serveurs. Notre principale est Google Cloud et son centre de données est situé dans l'Iowa, aux États-Unis. Nos serveurs secondaires sont hébergés dans des centres de données Amazon Web Services (AWS), aussi bien en UE qu'aux USA. Le centre de données AWS EU est situé à Francfort, en Allemagne, et le centre de données AWS US est situé en Virginie, aux États-Unis. Nous n'avons pas de serveurs internes.

  • Qu'est-ce que le failover de serveur ?

    Nos serveurs sont gérés par une politique de haute disponibilité et ils sont redondants dans Google Cloud. Ils sont également répliqués dans une deuxième plateforme cloud (AWS), ce qui permet de passer à une plateforme secondaire en une heure sans aucune perte de données.

  • Vos systèmes sont-ils testés pour les failles de sécurité ?

    Oui, nos systèmes sont régulièrement testés contre les menaces externes et internes.

×