La sécurité de vos données, prise au sérieux
Votre association nous confie des données d'adhérent·es, des finances, parfois des documents sensibles. Voici concrètement comment elles sont protégées — sans jargon marketing.
Six réponses simples
Où sont mes données ?
La base de données est à Francfort et vos fichiers sont hébergés dans l'Union européenne. Certains prestataires (email, IA, paiement) sont américains.
La liste des prestataires →Et si je supprime quelque chose par erreur ?
Une fiche supprimée reste 30 jours à la corbeille, et se restaure en un clic. La suppression d'une association n'a lieu que 30 jours après la demande.
La corbeille →Qui voit quoi ?
Chaque personne de l'équipe a un rôle, et le journal d'activité garde la trace des actions sensibles. La double authentification est disponible.
Le journal d'activité →Et en cas de panne ?
Une copie chiffrée de la base est exportée chaque nuit hors de notre hébergeur principal, et une page publique indique l'état du service.
Le statut du service →Sommes-nous couverts côté RGPD ?
Le contrat de sous-traitance est inclus dans les CGU, et MangoAsso est pensé pour vous aider à respecter le RGPD. La conformité de vos traitements reste de votre responsabilité d'association.
Les CGU →Puis-je partir quand je veux ?
Oui. L'export complet est ouvert à tout moment, quel que soit votre forfait, et vos données restent les vôtres.
L'export complet →Pour aller plus loin
Isolement entre associations
Chaque association dispose d'un espace totalement isolé des autres. Chaque accès aux données — adhérent·es, finances, documents — est systématiquement vérifié par rapport à l'association et au rôle de la personne connectée.
Accès limité selon le rôle
Au sein d'une même association, chaque personne de l'équipe a un rôle : Propriétaire, Administrateur·ice, Trésorier·ère ou Membre. La comptabilité et les dons sont fermés au rôle Membre, les paramètres réservés aux rôles Propriétaire et Administrateur·ice, l'abonnement à la seule personne propriétaire.
Mots de passe hachés, jamais en clair
Les mots de passe sont hachés (bcrypt) avant d'être stockés : personne, pas même l'éditeur de MangoAsso, ne peut consulter le mot de passe d'une personne.
Connexions toujours chiffrées (HTTPS)
Tout le trafic passe en HTTPS, avec HSTS activé pour empêcher tout repli vers une connexion non chiffrée. Les sessions reposent sur des jetons signés cryptographiquement, vérifiés à chaque requête.
Base de données et fichiers hébergés dans l'Union européenne
La base de données (vos adhérent·es, cotisations et comptabilité) est hébergée chez Neon à Francfort, et vos fichiers chez Cloudflare, dans l'Union européenne : des infrastructures cloud professionnelles avec sauvegardes automatiques, plutôt qu'un serveur géré en interne. Certains prestataires (email, IA, paiement) sont américains, encadrés par les clauses prévues par le RGPD : voir la politique de confidentialité.
Protection contre les attaques courantes
En-têtes de sécurité stricts (CSP, anti-clickjacking, anti-sniffing), échappement systématique des contenus affichés, limitation du nombre de tentatives de connexion, et vérification de la signature réelle de chaque fichier déposé (pas seulement son extension).
En détail
Pour celles et ceux qui veulent comprendre précisément ce qui protège leurs données.
Authentification
- Mots de passe hachés avec bcrypt, jamais stockés ni journalisés en clair.
- Sessions sous forme de jetons signés (JWT), impossibles à falsifier ou à modifier sans invalider la signature.
- Limitation du nombre de tentatives de connexion pour empêcher les attaques par force brute, avec un délai identique que le compte existe ou non (pas de fuite d'information sur les comptes existants).
- Authentification à deux facteurs disponible pour les comptes d'équipe.
Cloisonnement des données
- Chaque page et chaque action vérifie systématiquement que la personne connectée appartient bien à l'association concernée, avant tout accès aux données.
- L'espace membre des adhérent·es et des bénévoles, accessible sans compte d'équipe, repose sur un système d'authentification entièrement séparé de celui de l'équipe de gestion.
- Toutes les requêtes à la base de données utilisent des requêtes paramétrées : aucune concaténation de texte utilisateur dans une requête SQL.
Fichiers et contenus
- Chaque fichier déposé (logo, justificatif, document) est vérifié sur sa signature binaire réelle, pas seulement sur l'extension ou le type déclaré par le navigateur — une protection contre les fichiers déguisés.
- Tout contenu saisi (nom, texte libre) est automatiquement échappé à l'affichage pour empêcher l'injection de code.
Paiements
- Le paiement de votre abonnement MangoAsso est traité par Stripe : aucune donnée bancaire ne transite ni n'est stockée sur nos serveurs.
- Chaque notification de paiement (webhook) est vérifiée par signature cryptographique avant d'être prise en compte — une requête sans signature valide est automatiquement rejetée.
Audits et tests
- Le code fait l'objet de revues de sécurité, avec des tests ciblés sur les fonctionnalités sensibles (tentatives d'accès non autorisé, de contournement d'authentification, d'injection).
- Les en-têtes de sécurité (Content-Security-Policy, HSTS, anti-clickjacking) sont appliqués sur l'ensemble du site.
Vous avez trouvé une faille de sécurité ?
Merci de nous la signaler de façon responsable, avant toute divulgation publique, à hello@mangoasso.fr. Nous nous engageons à traiter rapidement tout signalement sérieux et à ne jamais poursuivre une personne ayant signalé une faille de bonne foi, sans l'avoir exploitée au-delà de ce qui est nécessaire pour la démontrer.
Voir aussi notre politique de confidentialité et notre politique de cookies.
Essayez MangoAsso en toute confiance
Créez votre espace en moins de 5 minutes, sans carte bancaire.
Vos adhérent·es sont dans un fichier Excel ? On les importe pour vous, gratuitement
Une question avant de vous lancer ? Réservez 30 minutes avec Lucas ou écrivez-nous, une vraie personne vous répond.