Sécurité

Comment Fare360 protège vos visites, vos photos, vos données, et celles des personnes qui regardent vos visites.

Chaque compte chez soi

Les visites, pages et demandes d'un compte ne sont jamais accessibles à un autre compte. C'est la base de données elle-même qui le vérifie, pas seulement l'écran.

Rien de publié ne casse

Une visite en ligne reste toujours sa dernière bonne version. Les liens déjà partagés restent valables, et une suppression peut s'annuler pendant 30 jours.

Le moins de données possible

Aucune donnée vendue, aucune publicité, aucun outil de mesure d'audience. Les statistiques des visites n'identifient personne.

Votre compte

Se connecter doit être simple, et un accès ne doit pas pouvoir se voler facilement.

Connexion par un code ou un lien reçu par e-mail, ou avec votre compte Google si vous le choisissez : aucun mot de passe Fare360 à retenir, ni à se faire voler.
Changer d'adresse e-mail se confirme à la fois sur l'ancienne et sur la nouvelle adresse.
« Se déconnecter partout » ferme d'un geste toutes vos connexions, sur tous vos appareils.
Accès perdu : une adresse de secours permet de prouver que c'est vous, et l'ancienne adresse est prévenue de tout changement.
Vos données vous appartiennent : vous pouvez les télécharger à tout moment depuis « Mon compte », ou fermer votre compte vous-même (effacement 30 jours après, le temps de changer d'avis).

Étanchéité entre les comptes

Un compte ne voit que ce qui lui appartient, même en essayant de passer par derrière l'écran.

Chaque lien entre deux éléments (un espace et sa visite, une visite et sa page, un membre et son équipe) est vérifié par la base de données elle-même : un compte ne peut pas rattacher quelque chose à un autre compte.
Le public ne lit que ce qui est en ligne, par des accès qui choisissent eux-mêmes ce qui peut être montré. Les brouillons, les demandes reçues et les identifiants des comptes ne sortent jamais.
Dans une équipe, chacun a les droits que le responsable lui donne (par exemple : seulement ses propres visites et pages).
Ces règles sont contrôlées par des tests automatiques qui se comportent comme un pirate, à chaque modification du logiciel, avant toute mise en ligne.

Vos visites et vos pages

Vous décidez qui voit quoi, et une erreur de manipulation ne doit jamais casser ce qui est en ligne.

Trois façons de publier : publique, par lien uniquement (introuvable sans le lien), ou avec un code. Après 20 codes faux, l'accès se bloque 5 minutes.
« Masquer le lieu » : l'adresse ne quitte plus la base pour le public, et la visite n'apparaît sur aucune carte.
Une visite en ligne ne peut pas être enregistrée cassée : sans photo, la modification est refusée et la version en ligne reste la dernière bonne.
Une visite supprimée reste 30 jours dans la corbeille, et peut être remise comme avant.
Si votre abonnement s'arrête ou baisse, rien n'est effacé : vous avez 14 jours pour choisir les visites qui restent en ligne, et les autres reviennent dès que votre formule le permet.
Un lien changé continue de mener à la visite : les QR codes et les liens déjà partagés restent valables, et personne d'autre ne peut reprendre votre ancien lien.
Tout ce qui est écrit dans une visite ou une page (titres, textes, liens, coordonnées) est affiché comme du texte : rien ne peut s'y exécuter dans le navigateur d'un visiteur. Seuls les liens sécurisés (https) sont acceptés.

Vos photos

Une photo 360° montre tout un lieu : elle ne doit pas en dire plus que ce que vous avez choisi.

Avant l'envoi, la position GPS, l'appareil, l'auteur et la date de prise de vue sont retirés de chaque photo. L'image elle-même n'est pas modifiée.
Seules de vraies photos sont acceptées (JPG, PNG, WebP, et les photos d'iPhone, converties automatiquement) : un fichier déguisé en image est refusé.
Chaque envoi demande une autorisation valable 5 minutes, et le nombre d'envois par compte est limité, contre les abus.
Un outil de floutage permet de masquer un visage, une plaque ou tout autre détail avant de publier.
Les photos sont rangées à des adresses très difficiles à deviner, même pour une visite protégée par un code. Pour un secret absolu, mieux vaut ne pas mettre une visite en ligne.

Les personnes qui regardent vos visites

Vos visiteurs ne créent pas de compte : ils doivent pouvoir regarder sans être suivis.

Les statistiques sont de simples compteurs par visite et par jour : ni nom, ni adresse internet, ni cookie de suivi.
Une demande « Être rappelé » n'est transmise qu'au compte qui a publié la page ou la visite.
Chaque donnée a une durée de conservation, appliquée automatiquement chaque nuit (détail dans la politique de confidentialité).
Chaque visite publique a un bouton « Signaler un problème ». Un signalement est examiné sous 2 jours ouvrés.

Hébergement et site

Des prestataires reconnus, chacun pour une tâche précise, et un site protégé de bout en bout.

Connexion chiffrée (https) partout, imposée par le navigateur lui-même.
Les pages de connexion et votre espace ne peuvent pas être affichés à l'intérieur d'un autre site (protection contre les pièges à clics).
Les visites n'exécutent que les programmes de Fare360, à une version figée, servis par Fare360 lui-même : aucun script chargé ailleurs ne peut s'y glisser.
Les erreurs du site sont relevées automatiquement, et l'état du service est consultable par tous.

L'équipe Fare360

Les personnes qui gèrent Fare360 ont des droits limités, et chaque geste laisse une trace.

Chaque administrateur a un rôle limité à son travail (modération, facturation…).
Toute modification depuis l'administration exige une double vérification, par une application d'authentification sur le téléphone.
L'administration se verrouille d'elle-même après 30 minutes sans activité.
Chaque action de l'administration est inscrite dans un journal.

Mises à jour

Le logiciel évolue souvent : chaque changement est contrôlé avant d'arriver chez vous.

Chaque modification passe plus de deux mille contrôles automatiques (application et base de données) avant d'être mise en ligne.
Les bibliothèques utilisées sont analysées à chaque modification : une faille connue et importante fait échouer le contrôle.
Une mise en ligne qui pose problème peut être annulée en quelques secondes, sans toucher à vos visites.
Un audit de sécurité par un spécialiste extérieur est prévu avant l'ouverture des abonnements payants.

Prestataires

Les services techniques sur lesquels Fare360 s'appuie, chacun pour une tâche précise.

Vercel Inc. — hébergement du site (États-Unis, serveurs dans le monde entier).
Supabase Inc. — base de données et connexion aux comptes (Australie (Sydney)).
Cloudflare Inc. — stockage des photos et protection anti-robots (États-Unis, serveurs dans le monde entier).
GitHub Inc. — stockage provisoire des photos des premières visites, avant leur passage chez Cloudflare (États-Unis).
Google LLC — connexion avec un compte Google, seulement si vous la choisissez (États-Unis).
Resend Inc. — envoi des e-mails (code de connexion, messages) (États-Unis).
Esri — fonds de carte affichés sur les pages qui ont une carte (États-Unis).
Fondation OpenStreetMap (Nominatim) — recherche d'une adresse tapée dans l'éditeur, pour poser le point d'une carte (seul le texte cherché est envoyé) (Royaume-Uni).
Le paiement des abonnements passe par la banque : Fare360 ne voit ni ne garde aucun numéro de carte.
Détail des données gardées et de leur durée : politique de confidentialité ; règles d'usage : conditions d'utilisation.

Signaler une faille

Vous pensez avoir trouvé un problème de sécurité ? Merci de nous le dire avant d'en parler ailleurs.

Écrivez à contact@fare360.pro, avec « Sécurité » dans l'objet : ce que vous avez constaté, et comment le refaire.
Vous recevez une réponse sous 2 jours ouvrés, puis des nouvelles jusqu'à la correction.
Testez seulement avec votre propre compte : n'accédez jamais aux données d'un autre, et ne gênez pas le service.
Pour un contenu qui pose problème (et non une faille), utilisez le bouton « Signaler un problème » sous la visite.

État du service Nous contacter