Auctily

Sécurité

Un marché d'art en ligne concentre trois risques : la fraude à l'objet, la fraude au paiement et la compromission de compte. Voici ce que nous mettons en face de chacun.

Sécurité des transactions

Séquestre systématique

Les fonds transitent par un établissement de paiement agréé, juridiquement distinct d'Auctily, et ne sont libérés qu'après confirmation de réception par l'acheteur.

Vérification d'identité

KYC pour les vendeurs particuliers, KYB pour les galeries et les professionnels, avant toute mise en vente.

Modération avant publication

Aucune annonce n'est visible publiquement avant d'avoir été examinée par notre équipe : photos, provenance et cohérence du dossier.

Médiation des litiges

Une équipe dédiée instruit les contestations selon un processus écrit, avec accès à l'historique complet de la transaction.

Sécurité de votre compte

Mots de passe protégés par scrypt

Les mots de passe ne sont jamais stockés en clair. Ils sont dérivés avec scrypt, une fonction volontairement coûteuse en mémoire, recommandée par l'OWASP.

Sessions à cookie sécurisé

Le cookie de session est httpOnly, SameSite et transmis uniquement via HTTPS. Il n'est jamais lisible par du JavaScript de page.

Limitation de débit

Les tentatives de connexion, les créations de compte et les actions sensibles sont plafonnées par adresse IP et par compte afin de contenir les attaques automatisées.

Chiffrement en transit

Tout le trafic est servi en HTTPS avec HSTS. Les échanges avec la base de données sont eux aussi chiffrés.

Durcissement applicatif

Mesures appliquées au niveau de la plateforme elle-même :

  • Content Security Policy verrouillée sur notre propre domaine : aucun script, style, police ou image tiers ne peut être chargé.
  • Protection contre l'affichage en cadre (frame-ancestors et X-Frame-Options), qui bloque les attaques par superposition d'interface.
  • En-tête X-Content-Type-Options pour empêcher l'interprétation abusive du type de fichier.
  • Politique de permissions désactivant par défaut caméra, micro, géolocalisation et API de paiement du navigateur.
  • Contrôle d'accès vérifié côté serveur sur chaque ressource : une annonce, un certificat ou une enchère ne sont lisibles que par leur propriétaire légitime.
  • Isolation stricte entre l'espace public et l'espace d'administration interne, qui utilisent deux systèmes d'authentification entièrement séparés.

Signaler une vulnérabilité

Si vous pensez avoir découvert une faille de sécurité, écrivez-nous à securite@auctily.com avec les éléments permettant de la reproduire. Nous accusons réception sous deux jours ouvrés.

Nous vous demandons de ne pas divulguer publiquement la faille avant que nous ayons pu la corriger, de ne pas accéder aux données d'autres utilisateurs et de ne pas dégrader le service. En contrepartie, nous nous engageons à ne pas engager de poursuites contre les chercheurs qui respectent ces règles.

Ce que nous ne faisons pas

Nous ne vous demanderons jamais votre mot de passe par e-mail ou par téléphone, et nous ne vous demanderons jamais de virer des fonds en dehors de la plateforme. Toute sollicitation de ce type est une tentative de fraude : signalez-la immédiatement au support.