Architecture de Sécurité

1.1 Objectif du Document

Ce document décrit l'architecture de sécurité globale de la plateforme REWAPP. Il présente les différentes couches de protection mises en œuvre pour garantir la confidentialité, l'intégrité et la disponibilité des données et des services.

1.2 Périmètre

Cette architecture couvre l'ensemble de l'écosystème REWAPP :

• Application Mobile (iOS/Android) : interface utilisateur pour les clients finaux
• Site Vitrine (Angular) : présentation de l'offre et inscription
• Dashboard Admin (Angular) : gestion globale de la plateforme
• Dashboard Partenaire (Angular + Ionic PWA) : interface pour les commerçants
• Backend API (NestJS) : services métier et gestion des données
• Infrastructure Cloud (CapRover) : hébergement et services Docker

1.3 Documents de Référence

2.1 Principes Fondamentaux

L'architecture de sécurité REWAPP repose sur les principes suivants :

2.2 Modèle de Défense en Profondeur

Le modèle de défense en profondeur REWAPP comprend 6 couches de sécurité :

2.3 Schéma Conceptuel

Architecture de sécurité en couches :

[INTERNET]
     |
     v
+------------------------+
|   Protection DDoS (Fail2Ban) (DDoS)    |  ← Couche 1 : Protection périmétrique
+------------------------+
     |
     v
+------------------------+
| Nginx reverse proxy (CapRover) + WAF       |  ← Filtrage des requêtes malveillantes
+------------------------+
     |
     v
+------------------------+
| API Gateway (Kong)     |  ← Couche 2 : Rate limiting, auth
+------------------------+
     |
     v
+------------------------+
| Réseau Privé             |  ← Couche 3 : Isolation réseau
|   +------------------+ |
|   | NestJS Backend   | |  ← Couche 4 : Validation applicative
|   +------------------+ |
|   +------------------+ |
|   | PostgreSQL container | |  ← Couche 5 : Chiffrement données
|   +------------------+ |
+------------------------+

3.1 Firewall et WAF (Web Application Firewall)

WAF applicatif (ModSecurity) est déployé au niveau de Nginx reverse proxy (CapRover) et de l'API Gateway pour filtrer le trafic malveillant.

// Configuration WAF applicatif
{
  "Name": "REWAPP-WAF-Rules",
  "Rules": [
    {
      "Name": "OWASPCommonRuleSet",
      "Priority": 1,
      "Statement": { 
        "ManagedRuleGroupStatement": { 
          "VendorName": "OWASP", 
          "Name": "OWASPCommonRuleSet" 
        } 
      },
      "OverrideAction": { "None": {} }
    },
    {
      "Name": "OWASPSQLiRuleSet",
      "Priority": 2,
      "Statement": { 
        "ManagedRuleGroupStatement": { 
          "VendorName": "OWASP", 
          "Name": "OWASPSQLiRuleSet" 
        } 
      },
      "OverrideAction": { "None": {} }
    }
  ]
}

3.2 Protection DDoS

Protection DDoS avancée (Fail2Ban + iptables) est activé pour protéger contre les attaques DDoS.

Capacités de mitigation :

• Absorption jusqu'à plusieurs Tbps de trafic
• Détection automatique des patterns d'attaque
• Notification en temps réel via Prometheus + Grafana
• Support 24/7 de l'équipe de sécurité

3.3 CDN et Edge Security

Nginx reverse proxy (CapRover) est utilisé comme CDN pour :

• Distribuer les assets statiques (app web, images)
• Terminer le TLS au plus proche des utilisateurs
• Appliquer les règles WAF en edge
• Cacher les réponses non sensibles

4.1 Architecture Réseau Interne Serveur

L'infrastructure REWAPP est déployée dans une réseau interne serveur avec isolation réseau complète.

4.2 Security Groups et ACL

Security Groups (niveau instance)

Network ACLs (niveau réseau interne)

4.3 Segmentation Réseau

Principe de segmentation appliqué :

• Zone DMZ (Public) : seul le Load Balancer est exposé
• Zone Application (Private) : services backend isolés
• Zone Données (Data) : bases de données sans accès Internet direct

4.4 VPN et Connexions Privées

5.1 Authentification

Exigences mots de passe

• Longueur minimum : 8 caractères
• Au moins 1 majuscule, 1 minuscule, 1 chiffre
• Au moins 1 caractère spécial recommandé
• Vérification contre liste des mots de passe compromis (HaveIBeenPwned)
• Expiration : 90 jours pour les admins, illimité pour les utilisateurs

Gestion des tokens JWT

5.2 Autorisation (RBAC)

Modèle RBAC (Role-Based Access Control) :

// Exemple de Guard d'autorisation NestJS
@Injectable()
export class RolesGuard implements CanActivate {
  constructor(private reflector: Reflector) {}

  canActivate(context: ExecutionContext): boolean {
    const requiredRoles = this.reflector.get<Role[]>('roles', context.getHandler());
    if (!requiredRoles) return true;
    
    const request = context.switchToHttp().getRequest();
    const user = request.user;
    
    return requiredRoles.some(role => user.roles?.includes(role));
  }
}

5.3 Protection contre les Attaques Web

// Configuration Helmet.js - Headers de sécurité HTTP
app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "https://cdn.rewapp.fr"],
      styleSrc: ["'self'", "'unsafe-inline'"],
      imgSrc: ["'self'", "data:", "https:"],
      connectSrc: ["'self'", "https://api.rewapp.fr"],
      frameSrc: ["'none'"],
      objectSrc: ["'none'"]
    }
  },
  hsts: { maxAge: 31536000, includeSubDomains: true, preload: true },
  referrerPolicy: { policy: 'strict-origin-when-cross-origin' }
}));

5.4 Validation des Entrées

Toutes les entrées utilisateur sont validées côté serveur :

// Exemple de DTO avec validation
export class CreateUserDto {
  @IsEmail()
  @Transform(({ value }) => value.toLowerCase().trim())
  email: string;

  @IsString()
  @MinLength(8)
  @Matches(/^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)/)
  password: string;

  @IsString()
  @MinLength(2)
  @MaxLength(50)
  @Matches(/^[a-zA-ZÀ-ÿ\s'-]+$/)
  firstName: string;

  @IsOptional()
  @IsPhoneNumber('FR')
  phone?: string;
}

6.1 Chiffrement en Transit

Configuration TLS recommandée :

• Ciphersuites : TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256
• Perfect Forward Secrecy (PFS) : ECDHE obligatoire
• Désactivation : SSLv3, TLS 1.0, TLS 1.1

6.2 Chiffrement au Repos

6.3 Gestion des Clés de Chiffrement

Gestion des clés de chiffrement (OpenSSL) est utilisé pour la gestion centralisée des clés :

6.4 Tokenisation des Données Bancaires

Flux de tokenisation

1. 1

   Saisie

   Utilisateur saisit ses coordonnées bancaires

2. 2

   Transmission directe

   L'app envoie directement au partenaire bancaire (Plaid)

3. 3

   Tokenisation

   Le partenaire retourne un token opaque

4. 4

   Stockage sécurisé

   REWAPP stocke uniquement ce token

5. 5

   Utilisation

   Les transactions utilisent le token, jamais les données brutes

7.1 API Gateway

Kong API Gateway est déployé comme point d'entrée unique pour toutes les API :

7.2 Rate Limiting et Throttling

// Configuration Rate Limiting avec Redis
ThrottlerModule.forRoot([
  {
    name: 'short',
    ttl: 1000,    // 1 seconde
    limit: 3,     // 3 requêtes max
  },
  {
    name: 'medium',
    ttl: 60000,   // 1 minute
    limit: 100,   // 100 requêtes max
  },
  {
    name: 'long',
    ttl: 3600000, // 1 heure
    limit: 1000,  // 1000 requêtes max
  },
])

7.3 Authentification API

7.4 Validation des Requêtes

Toutes les requêtes API sont validées :

• Content-Type : application/json uniquement (sauf upload)
• Taille maximale : 10 MB pour les requêtes standard
• Encoding : UTF-8 obligatoire
• Schema validation : OpenAPI 3.0 stricte

8.1 Sécurisation de l'Application

8.2 Stockage Sécurisé

8.3 Communications Sécurisées

• TLS 1.3 pour toutes les communications
• Certificate Pinning sur les domaines REWAPP
• Pas de données sensibles en cache HTTP
• Timeout agressif sur les connexions (30 secondes)

9.1 Logs de Sécurité

Tous les événements de sécurité sont centralisés dans Prometheus + Grafana Logs :

9.2 Détection d'Intrusion

Règles de détection personnalisées

• Connexion depuis nouveau pays : notification + 2FA obligatoire
• Nombre excessif de génération QR : blocage temporaire
• Tentative d'accès à ressource non autorisée : log + alerte
• Volume anormal de transactions : review manuel

9.3 Alertes et Escalade

10.1 Plan de Réponse aux Incidents

Étapes de réponse aux incidents de sécurité :

10.2 Procédures d'Escalade

10.3 Communication de Crise

11.1 Tableau Récapitulatif

11.2 Certifications et Audits

11.3 Points de Contact Sécurité