Architecture de Sécurité

1.1 Objectif du Document

Ce document décrit l'architecture de sécurité globale de la plateforme REWAPP. Il présente les différentes couches de protection mises en œuvre pour garantir la confidentialité, l'intégrité et la disponibilité des données et des services.

1.2 Périmètre

Cette architecture couvre l'ensemble de l'écosystème REWAPP :

• Application Mobile (iOS/Android) : interface utilisateur pour les clients finaux
• Site Vitrine (Next.js) : présentation de l'offre et inscription
• Dashboard Admin (React) : gestion globale de la plateforme
• Dashboard Partenaire (React PWA) : interface pour les commerçants
• Backend API (NestJS) : services métier et gestion des données
• Infrastructure Cloud (AWS) : hébergement et services managés

1.3 Documents de Référence

2.1 Principes Fondamentaux

L'architecture de sécurité REWAPP repose sur les principes suivants :

2.2 Modèle de Défense en Profondeur

Le modèle de défense en profondeur REWAPP comprend 6 couches de sécurité :

2.3 Schéma Conceptuel

Architecture de sécurité en couches :

[INTERNET]
     |
     v
+------------------------+
|   AWS Shield (DDoS)    |  ← Couche 1 : Protection périmétrique
+------------------------+
     |
     v
+------------------------+
| CloudFront + WAF       |  ← Filtrage des requêtes malveillantes
+------------------------+
     |
     v
+------------------------+
| API Gateway (Kong)     |  ← Couche 2 : Rate limiting, auth
+------------------------+
     |
     v
+------------------------+
| VPC Privée             |  ← Couche 3 : Isolation réseau
|   +------------------+ |
|   | NestJS Backend   | |  ← Couche 4 : Validation applicative
|   +------------------+ |
|   +------------------+ |
|   | PostgreSQL (RDS) | |  ← Couche 5 : Chiffrement données
|   +------------------+ |
+------------------------+

3.1 Firewall et WAF (Web Application Firewall)

AWS WAF est déployé au niveau de CloudFront et de l'API Gateway pour filtrer le trafic malveillant.

// Configuration WAF AWS
{
  "Name": "REWAPP-WAF-Rules",
  "Rules": [
    {
      "Name": "AWSManagedRulesCommonRuleSet",
      "Priority": 1,
      "Statement": { 
        "ManagedRuleGroupStatement": { 
          "VendorName": "AWS", 
          "Name": "AWSManagedRulesCommonRuleSet" 
        } 
      },
      "OverrideAction": { "None": {} }
    },
    {
      "Name": "AWSManagedRulesSQLiRuleSet",
      "Priority": 2,
      "Statement": { 
        "ManagedRuleGroupStatement": { 
          "VendorName": "AWS", 
          "Name": "AWSManagedRulesSQLiRuleSet" 
        } 
      },
      "OverrideAction": { "None": {} }
    }
  ]
}

3.2 Protection DDoS

AWS Shield Advanced est activé pour protéger contre les attaques DDoS.

Capacités de mitigation :

• Absorption jusqu'à plusieurs Tbps de trafic
• Détection automatique des patterns d'attaque
• Notification en temps réel via CloudWatch
• Support 24/7 de l'équipe DDoS Response Team AWS

3.3 CDN et Edge Security

CloudFront est utilisé comme CDN pour :

• Distribuer les assets statiques (app web, images)
• Terminer le TLS au plus proche des utilisateurs
• Appliquer les règles WAF en edge
• Cacher les réponses non sensibles

4.1 Architecture VPC (Virtual Private Cloud)

L'infrastructure REWAPP est déployée dans une VPC AWS avec isolation réseau complète.

4.2 Security Groups et ACL

Security Groups (niveau instance)

Network ACLs (niveau subnet)

4.3 Segmentation Réseau

Principe de segmentation appliqué :

• Zone DMZ (Public) : seul le Load Balancer est exposé
• Zone Application (Private) : services backend isolés
• Zone Données (Data) : bases de données sans accès Internet direct

4.4 VPN et Connexions Privées

5.1 Authentification

Exigences mots de passe

• Longueur minimum : 8 caractères
• Au moins 1 majuscule, 1 minuscule, 1 chiffre
• Au moins 1 caractère spécial recommandé
• Vérification contre liste des mots de passe compromis (HaveIBeenPwned)
• Expiration : 90 jours pour les admins, illimité pour les utilisateurs

Gestion des tokens JWT

5.2 Autorisation (RBAC)

Modèle RBAC (Role-Based Access Control) :

// Exemple de Guard d'autorisation NestJS
@Injectable()
export class RolesGuard implements CanActivate {
  constructor(private reflector: Reflector) {}

  canActivate(context: ExecutionContext): boolean {
    const requiredRoles = this.reflector.get<Role[]>('roles', context.getHandler());
    if (!requiredRoles) return true;
    
    const request = context.switchToHttp().getRequest();
    const user = request.user;
    
    return requiredRoles.some(role => user.roles?.includes(role));
  }
}

5.3 Protection contre les Attaques Web

// Configuration Helmet.js - Headers de sécurité HTTP
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "https://cdn.rewapp.fr"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:", "https:"],
      connectSrc: ["'self'", "https://api.rewapp.fr"],
      frameSrc: ["'none'"],
      objectSrc: ["'none'"]
    }
  },
  hsts: { maxAge: 31536000, includeSubDomains: true, preload: true },
  referrerPolicy: { policy: 'strict-origin-when-cross-origin' }
}));

5.4 Validation des Entrées

Toutes les entrées utilisateur sont validées côté serveur :

// Exemple de DTO avec validation
export class CreateUserDto {
  @IsEmail()
  @Transform(({ value }) => value.toLowerCase().trim())
  email: string;

  @IsString()
  @MinLength(8)
  @Matches(/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/)
  password: string;

  @IsString()
  @MinLength(2)
  @MaxLength(50)
  @Matches(/^[a-zA-ZÀ-ÿ\s'-]+$/)
  firstName: string;

  @IsOptional()
  @IsPhoneNumber('FR')
  phone?: string;
}

6.1 Chiffrement en Transit

Configuration TLS recommandée :

• Ciphersuites : TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256
• Perfect Forward Secrecy (PFS) : ECDHE obligatoire
• Désactivation : SSLv3, TLS 1.0, TLS 1.1

6.2 Chiffrement au Repos

6.3 Gestion des Clés (KMS)

AWS KMS (Key Management Service) est utilisé pour la gestion centralisée des clés :

6.4 Tokenisation des Données Bancaires

Flux de tokenisation

1. 1

   Saisie

   Utilisateur saisit ses coordonnées bancaires

2. 2

   Transmission directe

   L'app envoie directement au partenaire bancaire (Budget Insight)

3. 3

   Tokenisation

   Le partenaire retourne un token opaque

4. 4

   Stockage sécurisé

   REWAPP stocke uniquement ce token

5. 5

   Utilisation

   Les transactions utilisent le token, jamais les données brutes

7.1 API Gateway

Kong API Gateway est déployé comme point d'entrée unique pour toutes les API :

7.2 Rate Limiting et Throttling

// Configuration Rate Limiting avec Redis
ThrottlerModule.forRoot([
  {
    name: 'short',
    ttl: 1000,    // 1 seconde
    limit: 3,     // 3 requêtes max
  },
  {
    name: 'medium',
    ttl: 60000,   // 1 minute
    limit: 100,   // 100 requêtes max
  },
  {
    name: 'long',
    ttl: 3600000, // 1 heure
    limit: 1000,  // 1000 requêtes max
  },
])

7.3 Authentification API

7.4 Validation des Requêtes

Toutes les requêtes API sont validées :

• Content-Type : application/json uniquement (sauf upload)
• Taille maximale : 10 MB pour les requêtes standard
• Encoding : UTF-8 obligatoire
• Schema validation : OpenAPI 3.0 stricte

8.1 Sécurisation de l'Application

8.2 Stockage Sécurisé

8.3 Communications Sécurisées

• TLS 1.3 pour toutes les communications
• Certificate Pinning sur les domaines REWAPP
• Pas de données sensibles en cache HTTP
• Timeout agressif sur les connexions (30 secondes)

8.4 Authentification Biométrique

L'authentification biométrique est proposée comme facteur secondaire :

9.1 Logs de Sécurité

Tous les événements de sécurité sont centralisés dans CloudWatch Logs :

9.2 Détection d'Intrusion

Règles de détection personnalisées

• Connexion depuis nouveau pays : notification + 2FA obligatoire
• Nombre excessif de génération QR : blocage temporaire
• Tentative d'accès à ressource non autorisée : log + alerte
• Volume anormal de transactions : review manuel

9.3 Alertes et Escalade

10.1 Plan de Réponse aux Incidents

Étapes de réponse aux incidents de sécurité :

10.2 Procédures d'Escalade

10.3 Communication de Crise

11.1 Tableau Récapitulatif

11.2 Certifications et Audits

11.3 Points de Contact Sécurité