Free100Leads

Sécurité

Dernière mise à jour 19 August 2026

Ce document est publié en anglais et proposé en traduction pour votre confort. En cas de divergence entre une traduction et la version anglaise, la version anglaise prévaut.

Ce que nous ne détenons pas

La plupart des fuites dont vous lisez parlent de numéros de carte. Nous n’en détenons aucun. Les pages de paiement sont hébergées par Stripe et les données de carte vont de votre navigateur chez eux sans passer par nous : il n’y a pas de données de carte à perdre ici, ce qui vaut mieux que tout contrôle gagné à les manipuler nous-mêmes.

Les mots de passe sont stockés en hachages scrypt avec un sel par compte, jamais sous forme réversible, et nous ne pouvons pas vous dire votre propre mot de passe car nous ne le connaissons pas. Les identifiants de session sont aussi hachés : une copie de la base n’est pas un jeu de sessions vivantes. Les clés API pareil : seul un SHA-256 de la moitié secrète est gardé, c’est pourquoi une clé perdue se remplace mais ne se récupère jamais.

Nous ne stockons aucune adresse IP complète. Les adresses sont tronquées au bloc réseau avant toute écriture.

Comment le service est construit

Pas d’API non authentifiée sur les leads. Rien sur ce domaine ne renvoie des fiches de contact en JSON à un appelant sans clé. L’API payante vit sur son propre hostname, exige une clé liée à un abonnement, est mesurée et limitée par clé, et n’a aucun moyen de demander une fiche par identifiant : elle ne peut pas être parcourue en parallèle comme un offset ou un id le permettraient.
Des identifiants signés, côté serveur. Le cookie visiteur est HTTP only et porte une signature : impossible de l’éditer pour frapper une nouvelle allocation.
Des jetons de requête à usage unique. Chaque lot exige un jeton dépensé à l’usage, ce qui empêche de rejouer une requête capturée.
La roue décidée côté serveur. Le navigateur ne fait qu’animer vers le résultat. Rien du prix ne peut être changé depuis le client.
Des limites de débit en couches. Par visiteur, par bloc réseau, et un plafond pour tout le site chaque jour : un scraper décidé ne transforme pas une fuite lente en fuite rapide.
Des marqueurs traçables. Chaque lot complet porte un marqueur propre à ce visiteur et ce jour, et les fiches livrées à une clé payante en portent un lié à la clé et à la période de facturation. Si une liste apparaît dans le produit de quelqu’un d’autre, nous pouvons prouver d’où elle vient.
Une rampe sur les nouveaux abonnements. Un compte payant tout neuf atteint son plafond quotidien complet en une semaine plutôt qu’immédiatement, ce qui retire l’intérêt de s’abonner, prendre le maximum et faire opposition.

Où ça tourne

Du matériel dédié en Allemagne, opéré par Hetzner. Cloudflare termine le TLS et filtre le trafic devant l’origine. Les bases de données ne sont pas joignables depuis l’internet public, et l’accès administratif est par clé uniquement.

Signaler une vulnérabilité

Envoyez-la via le formulaire de contact. Décrivez ce que vous avez trouvé et comment le reproduire. Vous aurez une réponse humaine, et un correctif ou un calendrier sous trente jours.

Signalez de bonne foi et nous ne vous poursuivrons pas, quoi que disent les conditions par ailleurs. Bonne foi signifie tester votre propre session visiteur, s’arrêter à la preuve au lieu d’insister, ne jamais toucher aux données d’autrui, et nous laisser corriger avant de publier.

Laissez de côté les tests de déni de service, les attaques physiques, l’ingénierie sociale envers quiconque de l’entreprise, et tout ce qui dégrade le service pour les autres visiteurs. Nous n’avons pas de bounty payant, et nous vous créditerons si vous le souhaitez.

Si quelque chose tourne mal

Si une fuite met en danger les données de quiconque, nous notifions l’autorité de contrôle compétente sous 72 heures après en avoir eu connaissance, et nous prévenons directement les personnes concernées là où la loi l’exige. Nous le publierions aussi sur cette page.

Des limites honnêtes

Autant le dire clairement, la plupart des pages sécurité ne le font pas. La limitation anonyme est, par conception, du meilleur effort. Quelqu’un de déterminé, avec des proxies résidentiels et de la patience, peut collecter plus que sa part. Les couches ci-dessus rendent cela lent et coûteux plutôt qu’impossible, et le plafond quotidien du site borne ce qu’une seule journée peut perdre.

Les données de contact elles-mêmes sont publiques : le risque d’une fuite diffère d’une fuite de mots de passe. Ce n’est pas une raison d’être négligent, et la politique de confidentialité décrit ce que nous détenons et pourquoi.