Sécurité et données

Pas encore. L’application de Validiscan, avec une console où Validiscan effectue le travail et un portail destiné aux clients, est développée mais n’est pas en service : son adresse, app.validiscan.com, n’est pas en ligne.

Cette page décrit la conception et la configuration de l’application au 6 octobre 2026. Lorsqu’un élément n’est pas encore en place, la page le précise.

L’application de Validiscan stocke sa base de données, ses comptes utilisateurs et ses fichiers chez Supabase, dans la région de Francfort (eu-central-1). Supabase est une société américaine ; les données elles-mêmes sont stockées à Francfort. Le stockage se trouve dans l’UE, mais tout n’y reste pas : lorsque la rédaction par IA est activée pour une boutique, un extrait du code défaillant est envoyé à Anthropic, une société américaine, comme décrit plus bas.

Ces fichiers sont les captures d’écran des pages scannées, le HTML des pages, les résultats bruts des tests, les dossiers de preuves, les lots de correctifs, les exports de thème téléversés dans le portail client et les fichiers que Validiscan joint comme preuves de ses vérifications manuelles. Ils sont conservés dans un stockage privé, sans lien public. L’application ne crée un lien vers un fichier qu’au moment où une personne qui y a accès l’ouvre ou le télécharge, et ce lien cesse de fonctionner au bout de 60 secondes.

Les corrections elles-mêmes arrivent sur votre propre plateforme : sous forme de pull request dans votre dépôt GitHub, ou de copie non publiée de votre thème dans votre boutique Shopify. Un lot de correctifs est conservé dans le stockage de l’application, et Validiscan l’envoie à votre développeur.

Dans l’application de Validiscan, chaque client ne voit que les données de sa propre organisation. Le personnel de Validiscan voit tous les projets ; aujourd’hui, il s’agit d’une seule personne, William Quaade Rasmussen.

• Imposé par la base de données. Chaque table de l’application est protégée par la sécurité au niveau des lignes (row-level security) : c’est la base de données elle-même qui décide quelles lignes un compte peut lire, et pas seulement les pages de l’application. Des tests automatisés de la base de données vérifient qu’un client ne peut pas lire les données d’un autre client.
• Deux rôles pour les clients. Dans l’organisation d’un client, un administrateur peut inviter des collègues et demander un scan de vérification. Un lecteur peut consulter les données de l’organisation dans le portail client, mais ne peut rien modifier.
• Les jetons d’accès sont chiffrés. Un mot de passe Theme Access de Shopify, un jeton GitHub ou le mot de passe d’une boutique de préproduction protégée est chiffré avec AES-256-GCM avant d’être stocké. L’application indique seulement qu’un jeton existe. Aucun compte de l’application ne peut le relire, pas même un compte du personnel de Validiscan ; seul le processus de l’application qui exécute les tâches en arrière-plan le déchiffre, au moment où une tâche l’utilise.
• Une trace de chaque modification. Chaque modification qu’un utilisateur apporte dans l’application est consignée dans un journal d’audit, avec son auteur et le moment où elle a été faite. Seul le personnel de Validiscan peut lire le journal d’audit.
• Des journaux sans secrets. Les journaux de l’application ne contiennent ni mots de passe, ni jetons, ni clés, ni cookies, ni corps de requêtes.

L’application de Validiscan n’utilise l’IA que pour rédiger des corrections du niveau ASSISTED, et uniquement sur une boutique où la rédaction par IA est activée. Cette rédaction par IA est désactivée par défaut. Validiscan ne l’active pour une boutique qu’après l’accord écrit du client, et seul le personnel de Validiscan peut modifier ce réglage. Même dans ce cas, l’application ne rédige rien avec l’IA de son propre chef après un scan : chaque brouillon est demandé par Validiscan pour un constat précis.

Un brouillon est rédigé par un modèle d’Anthropic (Anthropic PBC, une société américaine), via l’API d’Anthropic. Pour chaque brouillon, l’application envoie :

1. la règle en échec : son identifiant, son titre, son impact et ses critères de succès WCAG, ainsi que la plateforme de la boutique ;
2. les conseils du catalogue de règles sur la façon de corriger cet échec ;
3. jusqu’à cinq éléments défaillants, chacun avec son sélecteur CSS, le résumé de l’échec, son HTML tel qu’il est rendu (2 000 caractères au plus), ainsi que le chemin et le type de sa page, mais pas l’adresse complète de la page ;
4. le chemin du fichier du thème auquel l’échec a été rattaché, et jusqu’à 200 lignes numérotées de ce fichier autour du code en cause.

L’application n’envoie ni capture d’écran, ni mot de passe ou jeton, ni donnée de client ou de compte, et rien qui provienne d’autres boutiques. Le HTML d’un élément peut néanmoins contenir les liens ou le texte visible de votre propre boutique.

En retour, l’application reçoit une proposition de modification, accompagnée d’une explication. Elle rejette un brouillon qui modifie un autre fichier que celui qui lui a été montré, qui crée ou supprime un fichier, ou dont le diff dépasse 400 lignes. Elle vérifie aussi que la modification s’applique sans conflit et passe un contrôle de syntaxe. Un brouillon qui ne passe pas ces contrôles n’est jamais livré. Validiscan relit chaque brouillon avant sa livraison, puis la modification est relue une nouvelle fois, par vous ou par votre développeur, avant d’être fusionnée ou publiée.

Par défaut, l’application de Validiscan supprime les captures d’écran, le HTML des pages et les résultats bruts des tests d’un scan 365 jours après le scan de la page, sauf si un dossier de preuves est établi à partir de ce scan. Les données des projets ne sont pas supprimées automatiquement.

La durée de conservation des données d’un projet après sa fin n’est pas encore arrêtée. Vous pouvez demander à Validiscan de les supprimer, ou de supprimer un jeton d’accès enregistré, en écrivant à info@validiscan.com. Sur Shopify, vous pouvez aussi mettre fin à l’accès vous-même : au 6 octobre 2026, la documentation de Shopify indique que la suppression du mot de passe dans l’application Theme Access révoque l’accès. La base de données est sauvegardée chaque jour et chaque sauvegarde est conservée 7 jours : des données supprimées de la base peuvent donc subsister dans une sauvegarde pendant 7 jours au plus.

Pour une vérification gratuite, ValidiscanBot charge au plus 15 pages publiques de la boutique dans son navigateur, chacune aux dimensions d’un écran d’ordinateur et d’un téléphone. Pour choisir ces pages, il envoie d’abord de simples requêtes pour la page d’accueil, le fichier robots.txt, les sitemaps et des pages candidates : il envoie donc plus de requêtes qu’il ne charge de pages. Il suit le fichier robots.txt de la boutique et laisse un intervalle d’au moins 1 s entre les requêtes qu’il lance lui-même, à une exception connue près, décrite plus bas. Les fichiers qu’une page charge elle-même, comme les styles, les scripts et les images, se chargent comme dans n’importe quel navigateur. Il ne se connecte jamais, n’ajoute jamais de produit au panier, n’ouvre jamais le tunnel de commande et n’envoie aucun formulaire.

• Il s’identifie. Chaque requête porte ValidiscanBot/1.0 (+https://validiscan.com; info@validiscan.com). Lors du passage aux dimensions d’un téléphone, la même chaîne se termine par le mot Mobile.
• Il lit robots.txt avant les autres pages. Sa première requête vise la page d’accueil, pour voir si la boutique répond. Il lit ensuite robots.txt. Si robots.txt interdit la page d’accueil à ValidiscanBot, ou si le serveur répond à la demande de ce fichier par une erreur serveur (5xx), par le code 429 (trop de requêtes) ou ne répond pas du tout, la vérification s’arrête là.
• Il attend plus longtemps si robots.txt le demande. Un Crawl-delay plus long dans robots.txt est respecté, jusqu’à 10 s.
• Une exception connue. Lorsque la boutique répond par une redirection au chargement d’une page dans le navigateur, celui-ci la suit aussitôt, sans intervalle et sans vérifier robots.txt. Validiscan a consigné cette limite comme une lacune connue de son scanner.
• Il ne lit que ce qui est public. Des données personnelles n’entrent dans le scan que si les pages publiques de la boutique les affichent, par exemple un nom dans un avis sur un produit ou dans les mentions légales.

Lorsque l’application mène une vérification gratuite, elle en conserve un résumé : le nombre de pages testées et d’échecs par niveau d’impact, la plateforme et, le cas échéant, l’overlay d’accessibilité détecté, ainsi que cinq échecs au plus, chacun avec la règle, l’adresse d’une page, le sélecteur CSS et le HTML de l’élément défaillant, tronqué à 300 caractères. Le résumé n’est pas supprimé automatiquement. Le résultat brut conserve les constats avec les adresses de leurs pages et le HTML des éléments, mais ni HTML de page, ni captures d’écran, ni sortie brute des tests ; par défaut, il est supprimé 365 jours après la vérification.

L’application de Validiscan ne lance un scan complet d’une boutique que si l’autorisation de son propriétaire est enregistrée. Un scan complet va plus loin que la vérification gratuite : il ajoute un produit au panier et ouvre la première étape du tunnel de commande, sans finaliser d’achat et sans saisir de données de paiement.

Validiscan consigne l’autorisation dans l’application, avec le moment de l’enregistrement et le nom de la personne de Validiscan qui y a procédé. Sans autorisation enregistrée, aucun scan complet ne démarre, le portail client refuse une demande de scan de vérification et la protection contre les régressions n’effectue pas son passage prévu. Pour retirer l’autorisation, écrivez à Validiscan.

Écrivez à info@validiscan.com. Le message parvient à William Quaade Rasmussen, qui dirige Validiscan. Ce que ce site fait lui-même des données personnelles figure dans la politique de confidentialité de validiscan.com.