HR Tech, paie & recrutement

Vous gérez des données collaborateurs,
pas un simple tableau CRM.

Un produit RH ou paie concentre identités, salaires, contrats, historique candidat, justificatifs et parfois données bancaires. Une revue externe de sécurité permet de voir rapidement ce qu'un grand compte, un partenaire ou un tiers extérieur peut déjà observer.

Enjeux réglementaires et commerciaux

RGPD — données collaborateurs

En vigueur

Salaires, contrats, justificatifs, données de santé au travail ou données disciplinaires exigent des mesures de sécurité proportionnées et traçables.

Questionnaires sécurité clients

À chaque nouveau compte

Les directions RH et les grands comptes demandent de plus en plus des preuves de maîtrise des accès et de séparation des données.

Pression produit et rythme de livraison

Maintenant

Les équipes de moins de 50 personnes mettent en production rapidement sur Supabase, Firebase ou Next.js, souvent sans revue externe sérieuse des accès, des rôles et des API.

Vulnérabilités fréquentes en HR Tech

  • API exposant des dossiers collaborateurs, candidats ou éléments de paie sans contrôle d'accès suffisant
  • Rôles admin, manager et salarié mal séparés côté interface ou côté serveur
  • Exports CSV, contrats ou bulletins accessibles via des URL directes ou des buckets trop permissifs
  • Règles RLS absentes ou incomplètes sur Supabase et Firebase, permettant de franchir la frontière entre clients
  • Webhooks et automatisations RH déclenchables sans validation sérieuse
  • Portails client ou espaces entreprise qui révèlent trop d'informations sur d'autres organisations

Sur ce type de stack, les problèmes les plus dangereux viennent rarement d'une CVE spectaculaire. Ils viennent d'une API RH trop large, d'un rôle mal borné ou d'un export sensible accessible depuis l'extérieur.

Pourquoi les éditeurs de SIRH sont une cible prioritaire

Un SIRH, un logiciel de paie ou un ATS concentre tout ce qu'un attaquant ou un concurrent cherche à connaître d'une entreprise : identités, salaires, numéros de sécurité sociale, IBAN partiels, contrats, arrêts, évaluations. Les éditeurs français hébergent souvent plusieurs dizaines d'entreprises clientes sur la même base multi-tenant. Une faille d'isolation ne touche jamais un seul client. Elle touche tout le portefeuille. C'est le risque le plus coûteux d'un SIRH : une erreur de RLS, un filtre d'API oublié, une route multi-tenant mal bornée, et la fuite concerne des dizaines de PME d'un coup. Les équipes des éditeurs RH restent pourtant petites : un fondateur, deux à cinq développeurs, rarement un responsable sécurité dédié. Le risque monte plus vite que l'équipe.

Surface d'exposition typique d'un logiciel de paie

Au-delà de l'application elle-même, un logiciel de paie expose généralement : un portail salarié (téléchargement des bulletins), un portail manager (vue équipe, absences, validation), un back-office RH, des API d'intégration (comptabilité, banque, SIRH tiers), des webhooks sortants vers Silae, PayFit ou Lucca, des flux DSN et DPAE vers l'URSSAF et la DGFiP, et un stockage documentaire (bulletins PDF, contrats, RIB). Chacune de ces surfaces a ses erreurs récurrentes. Des bulletins stockés dans un bucket public ou derrière des URL devinables. Des webhooks non signés qui acceptent le rejeu. Des exports RH qui incluent par erreur des données d'autres entreprises à cause d'une jointure bancale. Des jetons d'intégration laissés dans un bundle JS accessible au public. Ces erreurs échappent aux scanners automatiques. Elles se détectent en revue manuelle externe.

Préparer un questionnaire sécurité client pour un SIRH

Un grand compte qui achète un SIRH envoie un questionnaire sécurité avant de signer. Ces questionnaires couvrent : hébergement et certifications (ISO 27001, HDS si données de santé), gestion des accès et SSO (SAML, SCIM), chiffrement au repos et en transit, journalisation, sauvegardes, plan de continuité, sous-traitants, articles 32 et 33 du RGPD, exercices de réponse à incident. Beaucoup d'éditeurs de moins de 50 personnes découvrent ces questionnaires trop tard, en plein cycle commercial. Perdre un contrat grand compte à cause d'un questionnaire mal rempli peut coûter plusieurs dizaines de milliers d'euros de MRR. Un audit externe réalisé en amont fournit les preuves : cartographie d'exposition, articles du RGPD applicables, résultats de revue, plan de correction. De quoi répondre sereinement, pièces à l'appui. C'est souvent ce qui nous amène des éditeurs RH.

Intégrations sensibles : DSN, URSSAF, ATS, API bancaires

Un logiciel de paie orchestre des flux DSN mensuels vers l'URSSAF et les autres organismes. Un ATS dialogue avec les sites d'emploi (LinkedIn, Indeed, APEC). Un SIRH se connecte à l'outil de paie, au SSO d'entreprise (Azure AD, Okta), aux API bancaires pour les virements. Chaque intégration est une surface. Les failles qu'on y voit : signatures HMAC émises mais jamais vérifiées côté destinataire, jetons OAuth qui survivent à la réinitialisation d'un utilisateur, secrets d'intégration stockés en clair en base, webhooks qui acceptent un horodatage vieux de plusieurs heures (rejeu). Un audit externe cartographie ces intégrations, teste ce qui est rejouable et relève les secrets déjà visibles publiquement (bundles JS, journaux d'erreur, fichiers .map laissés en production).

Sous-traitant RGPD (Article 28) : vos obligations comme éditeur SaaS RH

Un éditeur de logiciel RH est presque toujours sous-traitant au sens du RGPD vis-à-vis de ses clients (l'entreprise utilisatrice est responsable de traitement). L'article 28 du RGPD encadre cette relation : accord de sous-traitance écrit, mesures techniques et organisationnelles documentées, notification rapide en cas d'incident, possibilité d'audit par le client. Les points qui se retournent contre l'éditeur lors d'un contrôle : absence de documentation des mesures techniques (chiffrement, pseudonymisation, tests d'isolation), absence de registre des sous-traitants de second rang (hébergeur, routage d'e-mails, IA), délai de notification d'incident mal défini, clauses relatives à l'article 28 manquantes au contrat. Notre rapport d'audit documente chaque exposition avec les articles du RGPD applicables (32, 33, 28). C'est une pièce que vos clients grands comptes reconnaissent comme preuve de diligence.

Articles liés — RH et paie

FAQ

Besoin d'une revue externe de votre SaaS RH ?

Expliquez votre produit, votre stack et votre contexte client. Nous revenons vers vous avec le bon niveau de revue.

Parler de votre audit