Mettre en œuvre le chiffrement & la gestion des secrets

1) Chiffrement des flux (en transit)

HTTPS/TLS 1.2+ obligatoire pour toutes les interfaces (portail web, API, iPad, écrans de salle).
LDAPS 636 recommandé pour l’authentification annuaire.
SMTP : privilégier TLS (soumis à la configuration du serveur de messagerie du Client).
Bonnes pratiques : certificats émis par AC reconnue, suites cryptographiques robustes, HSTS activé côté frontal, désactivation des protocoles obsolètes.

SaaS : données applicatives et sauvegardes hébergées sur des supports chiffrés, avec contrôle d’accès restreint et journalisé (cf. PAS & mesures datacenter).
On‑prem : recommander chiffrement disque/VM et options SQL (ex. TDE lorsque disponible). Les exports (CSV/PDF) doivent être stockés dans des emplacements sécurisés.
Sauvegardes : chiffrées et conservées selon la politique de rétention définie ; tester régulièrement restaurations et PRA.

Inventorier les secrets : comptes de service (AD/LDAP), SMTP, connecteurs (contrôle d’accès, Wi‑Fi Guest), applications Microsoft Graph (Meeting), webhooks/API.
Stockage : secrets chiffrés au repos, non visibles en clair dans l’interface, accès en moindre privilège et journalisés.
Rotation : planifier une rotation périodique (ou à l’événement : départ d’un admin, suspicion de fuite). Documenter propriétaire, date d’expiration, procédure de renouvèlement.
Transport : ne pas transmettre par e‑mail en clair ; utiliser canaux sécurisés (coffre‑fort d’entreprise, partage chiffré).
Logs : ne jamais journaliser des secrets ; masquer jetons/headers sensibles.

Certificat serveur pour le FQDN du portail (SaaS : géré par l’hébergeur / On‑prem : fourni par le Client, chaîne complète, renouvellement anticipé).
LDAPS : s’assurer de la validité du certificat du contrôleur de domaine.
Option mTLS possible sur intégrations spécifiques si requis par la politique SSI du Client.

Scan TLS du FQDN (protocoles/ciphers) et HSTS.
Inventaire des secrets avec dates d’expiration (SMTP, Graph, webhooks, comptes de service).
Sauvegardes chiffrées testées (SQL + fichiers) et procédure de restauration.
Accès admin restreints (VPN/IP autorisées) et traçabilité activée.
Plan de rotation et procédure de compromission documentés.

Certificat TLS (PFX + clé privée) pour le FQDN du portail et chaînes intermédiaires.
Accès sortants autorisés si intégrations externes (ex. Microsoft Graph / SMS).
Compte de service AD/LDAP dédié (droits minimaux) et coffre d’entreprise pour partager les secrets.

Conformité & sécurité → gouvernance, sauvegardes, continuité.
Modèle d’architecture → vues SaaS/On‑prem & flux.
RGPD / DPA → chiffrement, confidentialité, sous‑traitants.
Intégrations Entreprise → Microsoft 365/Graph, SSO (SAML/OIDC/ADFS), Contrôle d’accès.