Notre gestion du code source, nos revues de code et notre automatisation de build s'exécutent sur GitHub Enterprise Cloud. Au moment de la rédaction, GitHub détient les rapports SOC 1 Type II, SOC 2 Type II et SOC 3, les certifications ISO/IEC 27001:2022 et ISO/IEC 42001:2023, ainsi qu'une attestation de conformité PCI DSS. GitHub fait aussi réaliser des tests d'intrusion indépendants par des tiers et gère un programme public de bug bounty couvrant sa plateforme.
Ce sont les certifications propres de GitHub, pour l'infrastructure et les opérations de GitHub — pas celles d'Apivom. Nous énonçons cette distinction clairement car elle compte : une réponse de questionnaire de sécurité fournisseur qui confond « la plateforme sur laquelle nous construisons est certifiée » avec « nous sommes certifiés » est exactement le genre de réponse que nous signalerions si nous la recevions de l'un de nos propres fournisseurs.
Ce que nous pouvons affirmer avec confiance : la plateforme qui héberge notre code source est passée par des audits indépendants et récurrents couvrant le contrôle d'accès, la gestion du changement, la disponibilité et la confidentialité — les critères des services de confiance SOC 2 — ainsi que le périmètre plus large du système de management de la sécurité de l'information d'ISO/IEC 27001. C'est un point de départ sensiblement différent de l'hébergement du code source sur une infrastructure non auditée.
Par-dessus cette plateforme, nous ajoutons nos propres contrôles : l'authentification à deux facteurs obligatoire pour tout ingénieur ayant accès au code source, et l'analyse automatisée des vulnérabilités des dépendances sur chaque dépôt — tous deux décrits ailleurs sur cette page.
Ce que cela ne signifie pas
Nous ne détenons pas, à ce jour, notre propre certification SOC 2 ou ISO/IEC 27001 pour Apivom en tant qu'entreprise. Les certifications de GitHub couvrent GitHub ; elles ne s'étendent pas à la façon dont nous configurons nos dépôts, à qui nous accordons l'accès, ni à la façon dont nous construisons et déployons notre propre application. Ce sont exactement les pratiques que nous décrivons dans le reste de cette page, afin que vous puissiez les évaluer directement plutôt que de prendre une certification de plateforme comme un indicateur de substitution.