1.Hébergement
L’application, sa base de données et ses sauvegardes sont sur un serveur situé en France. Les boîtes de messagerie hébergées par Colabbs sont sur des serveurs à Paris, sauvegardées chaque nuit. Les prestataires sont nommés dans les mentions légales.
Toutes les connexions sont chiffrées : HTTPS seulement entre votre navigateur et Colabbs, TLS avec vérification du certificat entre Colabbs et vos fournisseurs de messagerie. Une connexion non chiffrée à un serveur IMAP ou SMTP est refusée.
2.Identifiants de vos boîtes
Les autorisations Google et les mots de passe IMAP et SMTP sont chiffrés (AES-256-GCM) avant d’être enregistrés, avec des clés gardées hors de la base de données. Ils ne sont déchiffrés qu’au moment de parler à votre fournisseur et ne sont jamais renvoyés à votre navigateur, ni écrits dans un journal.
Connecter, reconnecter ou déconnecter une boîte demande votre mot de passe Colabbs saisi depuis moins de dix minutes.
3.Affichage des messages
Le contenu d’un e-mail est traité comme non fiable. Son HTML est nettoyé sur le serveur, puis affiché dans un cadre isolé qui n’a accès ni à votre session ni à la page. Les liens s’ouvrent dans un nouvel onglet et leur vraie destination est affichée.
Les images distantes sont bloquées par défaut ; quand vous les affichez, elles passent par un relais qui masque votre adresse IP à l’expéditeur. Les pièces jointes ne sont ni exécutées ni converties : un aperçu est dessiné dans la page, jamais ouvert comme un document.
4.Comptes et sessions
- Votre mot de passe n’est jamais conservé : seule une empreinte Argon2id l’est. Il compte de 12 à 128 caractères et est comparé aux mots de passe connus pour avoir fuité.
- La session tient dans un cookie protégé (HttpOnly, Secure) ; elle expire après 7 jours sans activité et 30 jours au plus. Vous voyez vos sessions ouvertes et pouvez les fermer ; changer de mot de passe ferme toutes les autres.
- Connexion, inscription et réinitialisation sont limitées en nombre d’essais et ne disent jamais si une adresse a un compte.
5.Qui accède à quoi
- Une boîte personnelle n’est visible que de son titulaire. Une boîte partagée l’est des personnes à qui elle est ouverte, au niveau choisi : Lecture, Réponse ou Gestion.
- Aucun rôle d’administration n’ouvre une boîte : les administrateurs de votre organisation et l’équipe de Colabbs gèrent les comptes et les accès, jamais le contenu des messages.
- Les organisations sont séparées : ce qui appartient à l’une n’est jamais montré dans une autre, et des tests automatiques le vérifient à chaque version.
6.Journal de sécurité
Connexions, sessions fermées, boîtes ajoutées ou retirées, changements d’accès et actions d’administration sont inscrits dans un journal de sécurité. Les journaux techniques ne contiennent que des identifiants : jamais une adresse, un objet ou le contenu d’un message.
7.Suppression
Déconnecter une boîte supprime de Colabbs ses identifiants et sa copie synchronisée ; vos messages restent chez votre fournisseur. Une organisation supprimée est conservée 15 jours pour pouvoir être restaurée, puis effacée définitivement.
8.Ce que nous ne faisons pas
- Aucune publicité, aucune mesure d’audience, aucun cookie publicitaire.
- Aucune revente de données et aucun entraînement d’IA sur vos messages.
- Aucune certification n’est revendiquée : nous décrivons ce que fait l’application, rien de plus.
9.Signaler une faille
Vous pensez avoir trouvé une vulnérabilité ? Écrivez à contact@colabbs.com avec l’objet « Sécurité ». Nous répondons rapidement et ne poursuivons pas une recherche menée de bonne foi.