Les 5 vulnérabilités que nous trouvons chez 90% des startups healthtech

> En bref : APIs exposant des données patients, buckets publics, RLS manquants. Les erreurs récurrentes en e-santé.

Les startups de santé vont vite. Trop vite.

L'urgence de mettre sur le marché pousse les healthtechs à négliger la sécurité. Avec le référentiel HDS 2.0 obligatoire au 16 mai 2026, c'est un risque réglementaire majeur.

Vulnérabilité 1 : APIs patients sans authentification adéquate

Des endpoints retournant des données patients (nom, diagnostic, traitement) accessibles avec un simple token d'authentification : sans vérification que l'utilisateur a le droit d'accéder à CE patient.

Vulnérabilité 2 : Stockage médical dans des buckets publics

Radiographies, ordonnances, résultats d'analyses dans des buckets S3 ou Supabase Storage sans politique d'accès. Accessibles par URL directe.

Vulnérabilité 3 : RLS manquant sur les tables patients

Politiques Row Level Security absentes ou incomplètes. Tout utilisateur authentifié accède aux données de tous les patients.

Vulnérabilité 4 : Logs contenant des données de santé

Les logs applicatifs contiennent des informations médicales en clair : nom du patient, diagnostic, traitement. Accessibles via des endpoints de monitoring non protégés.

Vulnérabilité 5 : Webhooks non authentifiés

Création de rendez-vous, modification de dossiers, envoi de prescriptions : via des webhooks sans vérification d'identité.

Notre expertise healthtech

Nous auditons régulièrement des applications de santé. Notre revue externe identifie ces 5 vulnérabilités en quelques heures. Diagnostic gratuit en 10 minutes.

À retenir