Sécurité
Contrôles de sécurité présents aujourd''hui dans le produit — énoncés clairement, sans recours marketing.
Propriétaire de l'édition : Security + Growth. Dernière révision 2026-09-20. Cadence de révision : 90 days.
Contrôles d''accès et d''identité
Tous les contrôles ci-dessous sont en direct pour les locataires de production.
| Contrôle | Détail |
|---|---|
| Contrôle d''accès basé sur les rôles (RBAC) | ~60 autorisations nommées ; chaque action du personnel est contrôlée au niveau de la couche application Basé sur |
| Authentification multifacteur (MFA) Basé sur | TOTP ; appliqué sur tous les comptes du personnel |
| Connexion du personnel de l''OIDC | Le personnel peut s''authentifier via votre fournisseur OIDC ; aucun mot de passe EndorsedSign stocké |
| Politique de mot de passe lors des modifications des informations d''identification | Complexité minimale appliquée par la plate-forme sur tous les chemins de création et de modification de mots de passe |
| Gestion des sessions | Jetons de session de courte durée ; révocable sur demande Accès |
| Contrôle des origines autorisées par locataire | Embed et API restreint aux origines enregistrées ; origines non enregistrées rejetées |
Contrôles de données et d''audit
| Contrôle | Détail |
|---|---|
| Isolement des données des locataires | Portée du locataire sur chaque enregistrement appartenant au locataire. Un jeton valide ne peut pas récupérer les enregistrements d''un autre locataire. |
| Cryptage au repos | Documents et enregistrements d''audit chiffrés au repos dans un stockage à l''échelle du locataire |
| Piste d''audit en annexe uniquement | Journal des événements chaînés par hachage ; chaque événement fait référence au hachage précédent ; la falsification est détectable |
| ID de corrélation sur toutes les requêtes API | Chaque appel API porte un X-Correlation-ID renvoyé dans la réponse ; relie les demandes aux événements d''audit et aux livraisons webhook |
| Aucun PHI dans le contenu des notifications | Les corps de notification contiennent uniquement des liens ; aucun contenu de document, aucun PHI, aucune pièce jointe dans un e-mail ou SMS |
| Porte de suppression des PHI pour deux personnes | Activé avec le profil HIPAA ; la suppression d''un document nécessite la confirmation de deux personnes autorisées ; événement enregistré dans la piste d''audit |
Comment la frontière est appliquée
Les documents, enveloppes, modèles, clients et événements d''audit appartenant au locataire portent un identifiant de locataire qui est vérifié à chaque lecture et écriture. Les chemins de stockage sont générés à partir de cet identifiant afin que les fichiers d''un locataire ne soient pas mélangés avec un autre. Les séances du personnel sont liées à un locataire. Ce sont des contraintes de produits, pas des lignes directrices.
Nous ne publions pas les noms de marque des fournisseurs pour la signature, le stockage ou la livraison sur ce site. Les fonctions sont répertoriées sur la page des sous-traitants ; les identités sont divulguées dans le cadre d’un accord de non-divulgation.
Attestations indépendantes et contrôles d''entreprise
Ces contrôles sont désormais disponibles pour les environnements réglementés et d''entreprise.
| Article | Statut |
|---|---|
| Rapport de certification SOC 2 | Disponible sous NDA lors de l''examen de sécurité |
| SAML SSO | Live pour les locataires d''entreprise |
| Résidence des données dans l''UE | Live pour les forfaits éligibles et les flux de travail réglementés |
| Signatures qualifiées (QES) | Live pour les juridictions prises en charge et les profils de signature |
| Preuves de tests d''intrusion | Partagé via le processus de preuve et l''examen de sécurité du client |
Les preuves de contrôle sont partagées via le processus de preuves de confiance.
Signaler une vulnérabilité
Si vous avez trouvé un problème de sécurité potentiel, envoyez un e-mail à partenariats@endorsedsign.com avec les étapes de reproduction. N''incluez pas de documents clients ou d''informations d''identification réelles dans le rapport.
Nous accuserons réception dans un délai d''un jour ouvrable et vous tiendrons informé des progrès de la remédiation. Nous n’engagerons aucune action en justice contre des chercheurs en sécurité de bonne foi.