Distinction claire : Traitement natif sans IA, archivage local et modules IA révocables.
Pour garantir une transparence totale, nous distinguons précisément le mode d'exécution de vos calculs comptables, l'hébergement de vos données et le fonctionnement facultatif de l'intelligence artificielle.
Exécution déterministe sur serveur Voilà
Voilà est une application Web infonuagique (SaaS) dont tous les calculs comptables, fiscaux (TPS/TVQ) et PDF s'exécutent en code natif PHP/SQL sur nos serveurs sécurisés, sans aucun transfert vers un fournisseur d'IA externe.
Conservation locale de vos pièces
Vous pouvez générer et conserver localement sur votre poste vos factures PDF, vos rapports fiscaux et vos journaux comptables exportés, sans dépendre d'un format propriétaire verrouillé.
Activation explicite par module
Les fonctions d'IA (telles que l'importation OCR assistée de dépenses) sont désactivées par défaut. Lorsqu'un utilisateur choisit de les activer, seules les pièces soumises à ce module sont analysées, et l'autorisation demeure révocable en tout temps.
Méthodologie, périmètre des contrôles et dates d'évaluation
L'indice interne Fast4u SaaS Web Shield (99,8 / 100) reflète notre grille de contrôle interne sur le périmètre applicatif ci-dessous (dernière réévaluation : 23 octobre 2026) :
| Domaine contrôlé | Périmètre & Mécanisme | Méthode de vérification | Date de validation |
|---|---|---|---|
| Transport & Chiffrement | TLS 1.3 (HTTPS strict) en transit et AES-256 au repos pour les secrets et jetons. | Inspection de configuration serveur & OpenSSL | 23 oct. 2026 |
| Bouclier HTTP / PHP2Shell | Middleware ProtectAgainstPhp2Shell, durcissement php.ini et filtrage des téléversements (CVE-2026-109618). | Tests d'intrusion applicatifs internes & revue de code | 21 oct. 2026 |
| Authentification Forte | Laravel Fortify 2FA (TOTP), clés de sécurité WebAuthn / Passkeys et limitation de débit (Rate Limiting). | Suite de tests fonctionnels d'authentification | 23 oct. 2026 |
| Paiements par Carte | Délégation à Stripe (certifié PCI-DSS Niveau 1) ; aucun numéro complet de carte stocké sur Voilà. | Audit de flux SDK / Webhook Stripe | 23 oct. 2026 |
Sécurité et conformité : une protection rigoureuse, vérifiable et transparente.
Chaque couche technique et contractuelle de Voilà est conçue pour protéger l'intégrité de vos registres comptables, la vie privée de vos clients et votre souveraineté numérique au Québec, au Canada et à l'international.
Face aux vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619 (PHP2Shell), Voilà déploie un bouclier défensif à 4 niveaux : neutralisation pré-requête de session.upload_progress et fatal_error_backtraces (.htaccess / .user.ini), filtrage WAF des frontières multipart/form-data et des injections CGI avant l'amorçage applicatif, plafonnement mémoire anti-OOM longjmp() et en-têtes HTTP durcis.
Chiffrement des échanges, secrets protégés et authentification forte
Toutes les communications sont protégées en transit par chiffrement TLS 1.3 et les secrets applicatifs sensibles (identifiants SMTP, jetons et clés d'intégration) sont chiffrés en AES-256. Chaque compte d'entreprise évolue dans un périmètre logique strictement isolé avec protection CSRF, authentification à deux facteurs (2FA) et clés d'accès sans mot de passe (Passkeys).
Gouvernance alignée sur la Loi 25 du Québec et la LPRPDE (PIPEDA)
Les témoins analytiques demeurent désactivés par défaut jusqu'à votre consentement explicite. Vous disposez en tout temps des mécanismes de retrait du consentement, d'exportation, de rectification et de suppression de vos données, soutenus par nos politiques officielles publiées en six langues.
Infrastructure de paiement Stripe PCI-DSS et IA désactivée par défaut
Les paiements par carte bancaire s'effectuent via l'infrastructure certifiée PCI-DSS de Stripe sans stockage des numéros de carte sur les serveurs de Voilà. De même, nos greffons d'assistance IA sont verrouillés par défaut à l'ouverture du compte et ne s'activent que sur décision explicite de votre part.
Traçabilité des pièces justificatives et préparation fiscale structurée
Numérotation séquentielle contrôlée, préservation intégrale des pièces PDF multipages, ventilation précise des taxes canadiennes (TPS, TVQ, TVH, TVP) et des crédits de taxes sur les intrants (CTI/RTI), et états préparatoires T2125 / TP-80 prêts pour la vérification de votre comptable.
Note de transparence et de responsabilité professionnelle : Voilà met en œuvre des contrôles techniques et contractuels alignés sur la Loi 25 du Québec et la LPRPDE. La plateforme automatise la tenue de livres et la préparation documentaire, la validation fiscale et comptable finale demeurant sous la responsabilité de l'entreprise ou de son professionnel agréé.
Réponse immédiate de Voilà face à la faille critique menaçant 70 % des sites web
En l'espace de quelques heures suivant la publication de l'alerte majeure dans La Presse le 21 octobre 2026 concernant les vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619 (PHP2Shell), l'équipe d'ingénierie d'Informatique Fast4u a conçu, vérifié et déployé un bouclier de protection complet à 4 niveaux sur l'ensemble de l'infrastructure Voilà.
« Hécatombe sur l'internet : Une faille de sécurité critique menace 70 % des sites web »
L'article détaille l'onde de choc mondiale provoquée par deux failles critiques d'exécution de code à distance (CVE-2026-109618 et CVE-2026-109619, score CVSS 9,2/10) découvertes au cœur du langage PHP, exposant les serveurs non protégés à des attaques automatisées.
Chronologie de la réaction d'urgence (en l'espace de quelques heures)
Parution de l'alerte sur les vulnérabilités critiques CVE-2026-109618 et CVE-2026-109619 visant 70 % des sites web.
Analyse des vecteurs d'attaque : corruption mémoire longjmp() (OOM), frontières multipart/form-data et session.upload_progress.
Activation du durcissement pré-requête (.user.ini / .htaccess), du pare-feu Apache et du bouclier Php2ShellShield.
Vérification de l'en-tête 2026.10.21-PHP2SHELL-SHIELD et publication transparente du rapport des correctifs.
Rapport technique des 4 correctifs immédiats déployés sur Voilà
Protection active sans interruption de serviceNeutralisation pré-requête de session.upload_progress et fatal_error_backtraces
Désactivation stricte dans .user.ini et .htaccess (mod_php, PHP-FPM et CloudLinux lsapi) de session.upload_progress.enabled = 0, fatal_error_backtraces = 0 et zend.exception_ignore_args = 1 avant même l'analyse du corps HTTP, bloquant à la source toute corruption d'état global de session.
Filtrage WAF des frontières multipart/form-data et plafonnement anti-OOM longjmp()
Règles Apache mod_rewrite rejetant immédiatement en 403 Forbidden toute requête comportant plusieurs déclarations boundary=, une frontière multipart de plus de 70 caractères ou le paramètre PHP_SESSION_UPLOAD_PROGRESS, avec plafonnement de max_input_vars (2000) et max_input_nesting_level (32).
Inspection en amont dans public/index.php avant le chargement du cadriciel
Vérification instantanée de la conformité RFC des frontières multipart, rejet des charges utiles dépassant 32 Mo, blocage des injections d'arguments CGI (-d, %AD, allow_url_include, auto_prepend_file) et des flux phar:// / expect:// / php://filter, et suppression immédiate de tout fichier temporaire suspect.
Middleware ProtectAgainstPhp2Shell et retrait des signatures serveur
Double validation applicative en tête de pile Laravel, suppression de l'en-tête X-Powered-By, blocage d'accès direct aux fichiers .user.ini / .env / .git / .htaccess et ajout de l'en-tête d'audit X-Voila-Security-Shield: 2026.10.21-PHP2SHELL-SHIELD.