La sécurité chez Montu

Les enregistrements de compte, les profils de marque, les métadonnées des contenus générés et les jetons des boutiques connectées vivent dans une base PostgreSQL managée Neon hébergée dans l'Union européenne. Les connexions à la base sont chiffrées en TLS et leurs identifiants n'existent que sur notre infrastructure de déploiement.

L'application tourne sur Vercel et n'est joignable qu'en HTTPS. HTTP Strict Transport Security est servi avec un max-age de deux ans, includeSubDomains et preload : un navigateur qui a vu Montu une fois ne retentera jamais le HTTP en clair.

Dodo Payments est le marchand officiel et traite chaque paiement. Montu reçoit une confirmation et votre palier d'abonnement, jamais un numéro de carte, jamais d'adresse de facturation. Il n'y a aucune donnée de porteur de carte à protéger dans notre base.

Le trafic vers montuai.com et vers l'API est servi en TLS 1.3 avec HSTS préchargé. Chaque appel sortant de Montu — vers votre boutique, vers les fournisseurs de données de recherche, vers les fournisseurs de modèles — est en HTTPS.

Les jetons d'accès boutique et CMS sont chiffrés en AES-256-GCM avant écriture : un IV aléatoire nouveau par valeur, un tag d'authentification, et une enveloppe versionnée pour pouvoir faire tourner la clé sans casser les enregistrements existants. Un chiffré altéré échoue au déchiffrement au lieu de renvoyer silencieusement quelque chose de faux.

Les mots de passe sont hachés avec bcrypt au coût 12 et ne sont jamais écrits en clair. Une tentative de connexion sur une adresse sans compte exécute quand même une comparaison bcrypt complète contre un haché factice : le temps de réponse ne permet donc pas de deviner quelles adresses ont un compte.

Chaque route d'API authentifiée reçoit un client de base de données lié à la personne connectée. Chaque modèle appartenant à un compte — sites, contenus, mots-clés, rapports, visuels, connexions de boutique — y est borné automatiquement : l'identifiant d'un enregistrement d'un autre compte se lit comme introuvable, et une écriture visant la ligne de quelqu'un d'autre lève une erreur au lieu de réussir.

Le client borné est une défense en profondeur, pas un remplacement. Les routes vérifient toujours que le site et l'enregistrement vous appartiennent avant d'agir ; le bornage est le filet qui rattrape une route qui l'oublierait. Les chemins qui doivent traverser les comptes par nature — webhooks de facturation, tâches planifiées, authentification, outils d'administration — sont délibérément séparés et ne servent jamais de requêtes client.

Le travail de génération de longue durée est confié à des points d'entrée internes qui exigent à la fois un secret partagé serveur-à-serveur et un jeton d'habilitation émis pour cette seule exécution. Le jeton d'une exécution ouvre la ligne de cette exécution, et rien d'autre.

Rien de ce que vous générez, et rien de ce que nous lisons sur votre site, ne sert à entraîner des modèles, ni les nôtres ni ceux d'un fournisseur. Les fournisseurs de modèles ne reçoivent que le contexte opérationnel dont une tâche a besoin, requête par requête, et rien n'est accumulé pour l'entraînement.

Les jetons de boutique, les clés d'API et les mots de passe ne font partie d'aucun prompt. La publication est une étape distincte, côté serveur : elle déchiffre le jeton, appelle l'API de votre boutique, puis l'abandonne. Un modèle ne le voit jamais.

Les articles, textes produit, publications et visuels que Montu produit pour vous vous appartiennent. Une résiliation ne révoque rien de ce que vous avez déjà publié, et nous ne supprimons jamais de contenu de votre propre site ou boutique.

Quand vous connectez WordPress, Shopify, Salla, Zid, Ghost, Webflow ou Medium, Montu passe exactement un appel authentifié en lecture seule à cette plateforme pour prouver que l'identifiant fonctionne avant de l'enregistrer. Un mauvais collage est refusé plutôt que de remplacer en silence une connexion qui marchait.

Montu n'écrit que les champs de contenu qu'il a générés. Il ne change ni les prix, ni les stocks, ni les variantes, ni la livraison, ni les réglages de la boutique, et il ne demande jamais le mot de passe de votre compte CMS. Révoquez le jeton de Montu depuis l'administration de la plateforme à tout moment et la publication cesse immédiatement.

Une règle permanente, pas une intention. Lorsque la publication sur les réseaux sociaux a été retirée du produit en septembre 2026, la table qui contenait ses jetons OAuth tiers chiffrés, d'accès et de rafraîchissement, a été supprimée dans le même changement. Conserver des identifiants pour une fonctionnalité qui n'existe plus, c'est de la surface de fuite sans aucun bénéfice.

Chaque réponse porte une Content-Security-Policy, X-Frame-Options: DENY, X-Content-Type-Options: nosniff, une Referrer-Policy stricte, une Permissions-Policy qui coupe caméra, micro et géolocalisation, et un HSTS préchargé. Les points d'entrée de connexion, d'inscription, de réinitialisation de mot de passe, de contact et de connexion de boutique sont limités en débit dans la base, pour qu'une limite tienne sur toutes les instances serverless et non par réplique.

Montu va chercher des URL que vous fournissez : votre site, votre sitemap, l'API de votre boutique. Ces requêtes ne suivent jamais une redirection à l'aveugle : chaque saut est ré-analysé et ré-résolu, et un saut qui atterrit sur une adresse privée, de bouclage ou lien-local est refusé. Cela ferme la voie de la falsification de requête côté serveur vers l'infrastructure interne.

Les pages publiques de montuai.com chargent Google Analytics 4, un pixel publicitaire Meta et un pixel d'attribution de parrainage, et nous préférons vous le dire plutôt que vous le laisser découvrir dans l'onglet réseau. Ce qu'ils reçoivent : des pages vues et, pour un visiteur connecté, un identifiant de compte haché. Ce qu'ils ne reçoivent jamais, c'est ce qui compte : aucun contenu généré, aucune donnée de site ou de mots-clés, aucun identifiant de boutique. Nous ne vendons pas de données personnelles, et la politique relative aux cookies liste chaque balise et comment la refuser.