La sécurité chez RootSpend

1. 1Vous la collez et pouvez la tester par une lecture avant d’enregistrer.
2. 2Elle est chiffrée avec Fernet : chiffrement AES 128, signé en HMAC SHA256. Une valeur altérée refuse de se déchiffrer.
3. 3Elle est stockée chiffrée à côté de votre outil, jamais en clair.
4. 4Elle est utilisée en mémoire uniquement pendant une synchronisation, puis oubliée.
5. 5Elle ne ressort jamais Aucun écran, API, export ou journal ne la renvoie. Les clés IA affichent un indice masqué, rien de plus.
6. 6Vous gardez la main Remplacez-la ou déconnectez l’outil à tout moment.

• En production, le serveur refuse de démarrer sans clé de chiffrement valide : il ne peut donc jamais se rabattre sur un stockage en clair.
• Les messages d’erreur des fournisseurs sont nettoyés de tout identifiant avant d’être journalisés.
• RootSpend n’appelle que les adresses officielles de chaque fournisseur. Par exemple, il ne suit pas un lien Azure vers un autre hôte que management.azure.com.

Chaque table qui contient des données d’entreprise porte cette règle, tirée telle quelle de notre base. Une requête qui ne précise pas pour quelle entreprise elle travaille ne voit rien du tout, et une écriture pour la mauvaise entreprise est refusée par la base elle-même, pas seulement ignorée par notre code.

ALTER TABLE tools ENABLE ROW LEVEL SECURITY;
ALTER TABLE tools FORCE ROW LEVEL SECURITY;

CREATE POLICY tenant_isolation ON tools
  USING      (org_id = NULLIF(current_setting('app.current_org_id', true), '')::uuid)
  WITH CHECK (org_id = NULLIF(current_setting('app.current_org_id', true), '')::uuid);

• FORCE signifie que la règle s’applique aussi à l’utilisateur de base de données de RootSpend, pas seulement aux autres.
• Les tâches de fond, comme les synchronisations et les analyses, tournent sous la même règle, une entreprise à la fois.

{
  "currency": "USD",
  "period": { "start": "2026-09-28", "end": "2026-10-27", "days": 30 },
  "totals": { "spend": 18158.42, "change_pct": 4.6 },
  "tools": [
    { "id": "t1", "name": "Snowflake", "connector": "snowflake",
      "category": "Databases", "spend": 7906.10, "change_pct": 2.4,
      "people_with_spend": 14 }
  ],
  "services": [
    { "id": "s1", "tool": "t1", "name": "ANALYTICS_WH", "spend": 3120.50,
      "active_days": 30, "period_days": 30, "daily_variation_pct": 8.2 }
  ],
  "teams": [ { "name": "Data", "spend": 3688.00, "change_pct": 6.1 } ],
  "daily_spend": [ { "day": "2026-10-27", "spend": 612.40 } ]
}

• Les noms issus de vos outils sont envoyés comme des données que l’IA a ordre de ne jamais suivre : un texte caché dans le nom d’une ressource ne peut pas lui donner d’instructions.
• L’IA n’écrit jamais de montant. Elle écrit des emplacements, et RootSpend remplit chaque chiffre à partir de vos données.
• Chaque piste doit citer la dépense exacte qu’elle concerne. Tout ce qui cite une dépense inexistante est écarté, et aucune économie ne peut dépasser ce que vous dépensez réellement.
• Les liens et la mise en forme sont retirés de sa réponse avant que quiconque la voie.
• Il ne peut rien modifier dans vos outils. Les personnes décident, et RootSpend mesure le résultat 14 jours plus tard.
• Les dépenses IA sont plafonnées. Chaque requête réserve son coût maximal avant d’être envoyée, si bien qu’une enveloppe ne peut pas être dépassée.
• Un admin choisit RootSpend AI, votre propre clé Anthropic, OpenAI ou Gemini, ou la désactivation.

• Les coûts par personne restent désactivés tant qu’un propriétaire ne les active pas pour l’organisation.
• Même alors, seuls les rôles autorisés à voir les personnes y ont accès. Les autres voient les équipes et les outils.
• Les données sur les personnes ne sont jamais envoyées à l’analyste IA.

• Les mots de passe sont hachés avec bcrypt. Personne ne peut les lire, nous compris.
• Chaque nouveau compte confirme son e-mail avec un code à 6 chiffres avant que quoi que ce soit ne s’ouvre.
• Se connecter depuis un nouveau navigateur demande votre mot de passe et un code envoyé à votre e-mail. Chaque navigateur doit se reconfirmer tous les 3 jours.
• Les codes expirent au bout de 10 minutes, ne servent qu’une fois et sont bloqués après 5 essais erronés. Nous ne les conservons que sous une forme que personne ne peut relire.
• Réinitialiser ou changer votre mot de passe, ou vous déconnecter partout, oblige chaque navigateur à se reconfirmer avec un nouveau code.
• Connexion, inscription et réinitialisation du mot de passe acceptent 5 tentatives par minute depuis une même adresse, ce qui bloque les attaques par force brute.
• Votre session est conservée dans un cookie sécurisé httpOnly, illisible par les scripts de la page. Se déconnecter ou changer de mot de passe y met fin.
• En production, le cookie de connexion ne circule qu’en HTTPS.
• Les rôles déterminent qui peut voir les coûts, gérer les budgets, connecter des outils ou voir les personnes.

1. 1

   Sur la liste

   Seuls les e-mails d’une liste conservée sur le serveur peuvent ouvrir la console. Aucun bouton de l’application n’y ajoute qui que ce soit.

2. 2

   Second facteur

   Un code issu d’une application d’authentification, impossible à réutiliser.

3. 3

   30 minutes

   Les sessions de la console se terminent après 30 minutes, ou quand la personne se déconnecte.

• Dans votre organisation, notre équipe peut seulement consulter. Tout ce qui modifierait vos données est refusé.
• Chaque visite est inscrite dans votre propre journal d’audit, sous platform_admin.viewed.

• tool.connected
• tool.reconnected
• tool.deleted
• budget.updated
• alert_rule.created
• group.people_set
• member.updated
• invitation.created
• ai.settings_updated
• ai.key_deleted
• recommendation.marked_applied
• org.exported
• platform_admin.viewed

Les clés ne sont jamais écrites dans le journal d’audit, pas même masquées.

• Les propriétaires peuvent tout exporter à tout moment : chaque table qui contient les données de leur organisation.
• L’export exclut les clés de vos connecteurs, et retire tout champ qui ressemble à un secret.
• Supprimer une organisation efface toutes ces tables d’un coup, après avoir saisi son nom exact.

• Aucun cookie et aucun traceur publicitaire. Les visites sont comptées avec Cloudflare Web Analytics, qui ne dépose aucun cookie et ne vous identifie pas.
• Servi uniquement en HTTPS, avec des en-têtes de sécurité stricts, dont une Content Security Policy qui bloque les scripts d’autres sites.
• Le formulaire de contact est transmis par Web3Forms directement dans notre boîte mail. Nous ne vous ajoutons à aucune liste.