Centre de Confiance & Sécurité
Architecture Zero-Trust, alignement normatif rigoureux et transparence absolue. Conçu pour répondre aux exigences des RSSI, banques (Bank Al-Maghrib), assurances (ACAPS) et ministères régis par la Loi 05-20.
Nos 5 Engagements & Garanties de Sécurité Majeures
Matrice d'Alignement Réglementaire Marocaine & Internationale
Conformité rigoureuse aux directives de Bank Al-Maghrib, de la DGSSI (Loi 05-20), de la CNDP (Loi 09-08), de l'ANRT et des normes internationales ISO/IEC.
Établissements bancaires, organismes de crédit & prestataires cloud externalisés
- Directive 3/W/16 : Durcissement des canaux bancaires en ligne, anti-fraude OTP et traçabilité des opérations.
- Directive 4/W/2022 : Encadrement des activités externalisées (cloud), droit d'audit BAM et auditeurs externes.
- SLA contractuel 99.95%, RTO < 15 min, RPO < 5 min et engagement de réversibilité intégrale sans frais.
- Zero-Knowledge OTP : hachage SHA-256 immédiat à l'Edge, aucun secret bancaire en clair au repos.
Cybersécurité des Infrastructures d'Importance Vitale (IIV) et Organismes Publics
- Notification formelle des incidents de sécurité sous 2h ouvrées (CERT-DGSSI / maCERT).
- Cloisonnement réseau strict, passerelle API durcie et détection d'intrusion continue.
- Chiffrement TLS 1.3 obligatoire, HSTS Preload 2 ans et politique de permissions strictes.
- Sauvegardes chiffrées immuables quotidiennes avec rétention 30 jours et PRA testé.
Protection des données à caractère personnel et transferts transfrontaliers au Maroc
- Architecture Zero-Payload Persistence : conservation minimale et purge automatique par TTL (30 à 90 jours).
- Masquage systématique des corps de messages sensibles et OTP bancaires à la source.
- Traitement éphémère au niveau Edge sans persistance de PII non nécessaire.
- Droit d'accès, d'exportation et d'effacement des données personnelles en libre-service.
Routage SMS direct national, gouvernance Sender ID et protection anti-spoofing
- Filtrage strict Anti-Spoofing : vérification KYB (RC, ICE, IF, Lettre d'Habilitation LOA) obligatoire.
- Protection des marques nationales : interdiction d'usurpation des banques, assurances et institutions.
- Routage légal direct vers Maroc Telecom, Orange et Inwi sans passage par des routes grises SIM-box.
- Gestion stricte et automatisée des désabonnements STOP SMS réglementaires.
Système de Management de la Sécurité de l'Information (SMSI) et infrastructure Cloud Tier-1
- Déclaration d'Applicabilité (SoA) exhaustive couvrant l'ensemble des 93 contrôles de l'Annexe A (2022).
- Infrastructure physique et Edge Cloudflare auditée SOC 2 Type II et certifiée ISO 27001 / ISO 27701.
- Contrôles continus DevSecOps automatisés en CI/CD avec traçabilité immuable des évidences d'audit.
- Dossier de conformité fournisseur (ISO/IEC 17050-1) préparé pour audit accrédité IAF MLA pour VEXT AI SARL AU.
Sous-traitants & Prestataires Numériques Automobile (Constructeurs & Équipementiers)
- Mémoire formel de démarcation de périmètre excluant les données prototypes et CAO (TISAX AL3 non applicable).
- Alignement exhaustif du catalogue VDA ISA v6.0 sur le SMSI conforme ISO/IEC 27001:2022.
- Architecture Zero-Payload Persistence et masquage à la source des identifiants et OTP.
- Prêt pour audit documentaire distant AL2 sur le portail ENX (Participant ID PRT-2026-MA-001).
Architecture Technique Zero-Trust & Résilience
Comment nos mécanismes cryptographiques et d'isolation garantissent la sécurité et l'intégrité de vos flux sensibles.
Sécurité Transactionnelle CAS (Compare-And-Swap)
- Chaque débit de balance et chaque envoi de message s'exécute via une mutation atomique CAS au niveau de la couche base de données.
- Garantie mathématique d'impossibilité de solde négatif ou de race condition, même lors de rafales concurrentes de requêtes API.
- Journalisation immuable dans le ledger financier avec référence d'audit univoque par transaction.
Hachage Cryptographique & Clés Scannées (SHA-256)
- Les clés d'API secrètes sont générées avec un sel cryptographique et affichées une seule fois au développeur.
- En base, seule l'empreinte SHA-256 (`key_hash`) est persistée. Même un dump complet de base de données ne révèle aucune clé.
- Restrictions par liste blanche d'adresses IP sources (notation CIDR) et scopes granulaires (sms:send, otp:verify, dlr:read).
Signatures HMAC-SHA256 & Anti-Rejeu des Webhooks
- Chaque webhook envoyé à votre système comporte une signature HMAC-SHA256 calculée avec un secret dédié propre à votre point de terminaison.
- Horodatage inclus dans la signature (format `t=...,v1=...`) pour neutraliser les attaques par rejeu réseau.
- Rotation des secrets de signature en un clic depuis le tableau de bord avec support de périodes de transition.
Protection Anti-SSRF & Cloisonnement Multi-Tenant
- Toutes les requêtes sortantes de webhooks traversent un résolveur DNS durci interdisant l'accès aux plages IP privées (RFC 1918), loopback et métadonnées cloud.
- Validation stricte des redirections HTTP : chaque saut d'URL est ré-analysé avant transmission.
- Cloisonnement strict au niveau logique et requête : aucune fuite de données inter-comptes possible.
Zero-Payload Persistence & Minimisation CNDP (Loi 09-08)
- Les corps de messages SMS et les logs de livraison sont automatiquement purgés ou irréversiblement anonymisés après 30 à 90 jours glissants.
- Les codes de vérification OTP sont stockés exclusivement sous forme hachée en mémoire distribuée KV avec un TTL d'expiration de 300s.
- Export de données et droit à l'effacement en libre-service conformes aux exigences de la CNDP et du RGPD.
Dossier de Conformité & Rapports d'Audit Téléchargeables
Téléchargez l'ensemble des pièces contractuelles et techniques prêtes pour vos comités d'homologation bancaire et revues de sécurité tiers.
Attestation de Conformité SMSI ISO/IEC 27001:2022 (ISO/IEC 17050-1)
Attestation formelle de conformité du SMSI selon ISO/IEC 17050-1 et dossier d'engagement d'audit accrédité IAF MLA pour l'opérateur VEXT AI SARL AU.
Mémoire de Démarcation de Périmètre & Alignement TISAX VDA ISA 6.0
Justification juridique et technique de non-applicabilité du niveau AL3 et matrice de concordance VDA ISA 6.0 / ISO 27001 pour les constructeurs et équipementiers automobiles.
Plan d'Assurance Sécurité (PAS) — Référentiel Entreprise & Banques
Document cadre détaillant l'architecture technique, l'alignement DGSSI Loi 05-20, les engagements BAM 4/W/2022, le PCA/PRA et la politique de gestion des vulnérabilités.
Déclaration d'Applicabilité (SoA) ISO/IEC 27001:2022
Matrice exhaustive détaillant l'implémentation et la justification technique des 93 mesures de sécurité de l'Annexe A (norme 2022) et la feuille de route d'accréditation.
Rapport de Test d'Intrusion Externe (OWASP WSTG v4.2)
Synthèse d'audit d'intrusion externe évaluant les API REST et le périmètre Edge selon OWASP ASVS v4.0 et BAM 3/W/16. Résultat : 0 vulnérabilité critique, 0 élevée.
Annexe de Conformité Bank Al-Maghrib (Directive 4/W/2022)
Engagements contractuels stricts pour établissements assujettis : droit d'audit BAM, notification d'incident < 2h, RTO < 15m, RPO < 5m et réversibilité totale.
Suite de Tests & Pentest Automatisé (Validation Continue CI/CD)
Script exécutable vérifiant automatiquement les en-têtes de sécurité, SSRF, hachage OTP, idempotence, CAS atomique et RFC 9116 security.txt dans les pipelines CI/CD.
Certificats ISO 27001 & SOC 2 de l'Infrastructure Cloud
Attestations officielles d'audit SOC 2 Type II et certifications ISO/IEC 27001 des datacenters et du réseau de distribution Edge sur lesquels s'exécute EnvoiSMS.
Questions Fréquentes des RSSI, Banques & Équipes Sécurité
Comment EnvoiSMS répond-il aux exigences TISAX et de la filière automobile ?
EnvoiSMS fournit un Mémoire de Démarcation de Périmètre officiel conforme aux directives VDA ISA v6.0 / ENX : notre plateforme opère comme passerelle télécom de transit et n'héberge aucun plan CAO, prototype ou télématique véhicule, rendant le niveau TISAX AL3 non applicable. La sécurité des flux d'alertes industrielles et d'OTP est couverte par notre conformité ISO/IEC 27001:2022 (SoA ISO/IEC 17050-1), notre hébergement certifié ISO 27001 / SOC 2, l'annexe Bank Al-Maghrib 4/W/2022 et un alignement documentaire complet prêt pour l'audit TISAX AL2.
Comment EnvoiSMS se positionne-t-il vis-à-vis d'ISO 27001 ?
La plateforme EnvoiSMS.ma est opérée par VEXT AI SARL AU (ICE 004061591000005) avec un SMSI conforme aux 93 contrôles de l'Annexe A de la norme ISO/IEC 27001:2022, formalisé dans notre Déclaration d'Applicabilité (SoA selon ISO/IEC 17050-1) et audité en continu par notre moteur DevSecOps en CI/CD. Notre infrastructure physique et réseau Edge est hébergée sur des infrastructures certifiées ISO 27001 et auditées SOC 2 Type II.
Comment répondez-vous aux exigences de Bank Al-Maghrib (Directives 3/W/16 et 4/W/2022) ?
EnvoiSMS intègre une Annexe Spécifique Bank Al-Maghrib garantissant le droit d'audit complet pour BAM et les auditeurs mandatés par les banques, un SLA de 99.95%, un RTO < 15 min, un RPO < 5 min, une notification des incidents sous 2 heures et la réversibilité sans frais des données.
Comment sont protégées les données à caractère personnel vis-à-vis de la CNDP (Loi 09-08) ?
Notre plateforme applique une architecture Zero-Payload Persistence. Les corps de messages contenant des OTP sont automatiquement masqués à la source (******). Les données de transit sont purgées automatiquement après 30 à 90 jours glissants. Les codes OTP ne sont jamais stockés en clair (hachage SHA-256 avec TTL strict de 300s).
Quelle est la procédure en cas de vulnérabilité découverte par un chercheur ?
Nous maintenons un fichier conforme RFC 9116 à l'adresse /.well-known/security.txt. Les signalements de sécurité doivent être adressés à security@envoisms.ma. Nous accusons réception sous 24h ouvrées et nous engageons à corriger toute vulnérabilité confirmée dans les meilleurs délais selon notre politique de divulgation coordonnée.
Comment garantissez-vous la haute disponibilité et la résilience aux pannes ?
L'API EnvoiSMS est distribuée sur le réseau mondial Anycast de Cloudflare, garantissant une protection DDoS en temps réel et un basculement automatique sans point unique de défaillance (no single point of failure). Des sauvegardes complètes chiffrées sont réalisées chaque nuit avec Time Travel de 30 jours.
Signaler une Vulnérabilité ou Demander une Revue Personnalisée
Notre équipe de sécurité des systèmes d'information répond à vos questionnaires de conformité B2B et prend en charge vos demandes d'homologation.