Sécurité

Ce que Lanterne fait pour protéger ce que vous lui confiez, tel que le code et l'hébergement le font aujourd'hui. Mis à jour le 23 octobre 2026.

Le principe : moins on garde, moins on expose

• Lanterne garde des repérages d'outils, pas des personnes : un pseudonyme propre à chaque entreprise remplace le nom, et aucun chiffre n'est montré pour moins de trois personnes.
• Les fichiers importés sont effacés dès qu'ils sont lus. Les conversations de l'assistant, au bout d'un jour.
• Aucune conversation d'un agent, aucun fichier, aucune ligne de code n'est lu. La passerelle MCP garde le nom des paramètres d'un appel, jamais leur valeur.

Hébergement

• Serveur et base de données en France, chez Scaleway, à Paris (fr-par), hors du Cloud Act.
• Base PostgreSQL en haute disponibilité (deux nœuds), sauvegardée chaque jour, sauvegardes gardées sept jours.
• L'assistant passe par Mistral AI, en Europe, et ne reçoit que des chiffres agrégés.

Chiffrement

• Tout passe en HTTPS (TLS, certificat Let's Encrypt) ; la connexion à la base est chiffrée.
• Les secrets que vous donnez à Lanterne (jetons OAuth, clés d'API, réglages des destinations SIEM, en-têtes des serveurs MCP) sont chiffrés dans la base, en AES-256-GCM, par une clé qui n'y est pas.
• Les jetons que Lanterne émet (API, SCIM, passerelles MCP, liens de questionnaire et de revue) ne sont gardés qu'en empreinte SHA-256 : montrés une fois, ils ne se relisent pas.
• Les mots de passe sont hachés par bcrypt.

Accès

• Chaque entreprise est cloisonnée : un membre ne lit que les entreprises dont il est membre ; un cabinet, que celles qui lui sont confiées.
• Trois rôles : administrateur, lecteur, représentant du personnel (qui ne voit que l'agrégé).
• Connexion unique SAML 2.0 avec votre annuaire, qui peut être imposée ; provisionnement SCIM 2.0.
• Lire les agendas, pour compter les robots de réunion, est une option à part, que vous activez et retirez : rien n'y est gardé que des nombres.
• Les connexions à vos outils sont en lecture seule. Agir (désactiver une identité d'agent, retirer une application, révoquer une clé, mettre un agent en quarantaine) demande une autorisation à part, que vous seul accordez, et un geste d'un administrateur.

Traçabilité

• Chaque décision est inscrite dans un journal d'audit chaîné : chaque entrée porte l'empreinte de la précédente, et Lanterne vérifie que personne ne l'a retouchée.
• Le journal et les alertes partent vers votre SIEM (Splunk, Microsoft Sentinel, Datadog, syslog, webhook signé).

Développement

• Chaque version passe une suite de tests automatiques, une analyse statique de sécurité (Brakeman) et une revue de style avant d'être déployée.
• Politique de sécurité du navigateur stricte (CSP) : aucun script venu d'ailleurs.
• Limites de débit sur les pages ouvertes sans compte.

Sous-traitants

• Scaleway (France) : hébergement du serveur et de la base.
• Mistral AI (France) : l'assistant, avec des chiffres agrégés.
• Amazon Route 53 : le nom de domaine (aucune donnée de vos salariés).
• Let's Encrypt : le certificat HTTPS (aucune donnée de vos salariés).

Les services que vous reliez (Microsoft, Google, Okta, GitHub…) ne sont pas des sous-traitants de Lanterne : ce sont les vôtres, que Lanterne lit avec votre accord.

Ce qui n'est pas encore fait

• Pas encore de certification (ISO 27001, SOC 2), ni de test d'intrusion par un tiers.
• Le disque de la base n'est pas chiffré au repos ; seuls les secrets le sont, par l'application.

Signaler une faille

Écrivez à contact@gostapp.co. Nous répondons sous deux jours ouvrés, et nous vous disons ce que nous avons corrigé.