{"id":2767,"date":"2026-10-05T19:57:02","date_gmt":"2026-10-05T19:57:02","guid":{"rendered":"https:\/\/whitelotto.com\/?p=2767"},"modified":"2026-10-06T00:17:50","modified_gmt":"2026-10-06T00:17:50","slug":"securite-tests-sla-plateforme-loterie","status":"publish","type":"post","link":"https:\/\/whitelotto.com\/fr\/securite-tests-sla-plateforme-loterie\/","title":{"rendered":"Liste de contr\u00f4le des tests, de la s\u00e9curit\u00e9, de la certification et des SLA de plateformes de loterie"},"content":{"rendered":"\n
\n\n

Une liste de contr\u00f4le de s\u00e9curit\u00e9 et de disponibilit\u00e9 d’une plateforme de loterie doit relier chaque exigence \u00e0 un test, \u00e0 un responsable qui en r\u00e9pond et aux preuves de la version que vous exploiterez.<\/strong> Partez du produit pr\u00e9vu, des exigences applicables, des accords de paiement et du contrat. Commandez les travaux ind\u00e9pendants assez t\u00f4t pour corriger les constats et refaire les tests. N\u00e9gociez ensuite des niveaux de service mesurables pour l’ensemble du parcours client, et pas seulement pour un serveur qui r\u00e9pond \u00e0 un contr\u00f4le de sant\u00e9.<\/p>\n

Rapports RNG, tests d’intrusion, certificats et engagements de disponibilit\u00e9 r\u00e9pondent \u00e0 des questions diff\u00e9rentes. Aucun ne remplace les autres. Utilisez la liste d’\u00e9valuation des fournisseurs<\/a> pour comparer les propositions et t\u00e9l\u00e9chargez WhiteLotto Operator Decision Pack (XLSX)<\/a> pour consigner exigences, lacunes de preuves et d\u00e9cisions.<\/p>\n

Distinguez tests, certification et assurance op\u00e9rationnelle<\/h2>\n

Cr\u00e9ez une matrice d’exigences : obligation et source, composant, version, environnement, norme requise, \u00e9valuateur admissible, pr\u00e9requis, livrable et responsable de l’acceptation. Identifiez ce que couvrent les preuves du fournisseur et ce qui reste propre \u00e0 votre d\u00e9ploiement. L’assurance qualit\u00e9 interne soutient ce travail, mais ne remplace pas l’\u00e9valuation ind\u00e9pendante requise.<\/p>\n

\n\n
Des p\u00e9rim\u00e8tres d’assurance diff\u00e9rents exigent des preuves diff\u00e9rentes<\/caption>\n
P\u00e9rim\u00e8tre<\/th>Questions \u00e0 tester<\/th>Preuves \u00e0 demander<\/th><\/tr><\/thead>\n
Jeu et RNG<\/th>O\u00f9 intervient l’al\u00e9atoire : g\u00e9n\u00e9rateur, correspondances, r\u00e8gles du jeu et traitement des r\u00e9sultats.<\/td>Rapport identifiant composants test\u00e9s, versions, m\u00e9thodes et exclusions.<\/td><\/tr>\n
Plateforme et int\u00e9grations<\/th>Acceptation des billets, cl\u00f4ture des ventes, demandes en double, r\u00e8glement, ingestion des r\u00e9sultats et rapprochement.<\/td>R\u00e9sultats des tests syst\u00e8me pour les int\u00e9grations configur\u00e9es et les cas de panne.<\/td><\/tr>\n
Cybers\u00e9curit\u00e9<\/th>Authentification, acc\u00e8s privil\u00e9gi\u00e9s, API, configuration, vuln\u00e9rabilit\u00e9s et gestion des incidents.<\/td>\u00c9valuation au p\u00e9rim\u00e8tre d\u00e9fini, registre des constats et preuves de nouveaux tests ind\u00e9pendants.<\/td><\/tr>\n
S\u00e9curit\u00e9 des paiements<\/th>Flux de donn\u00e9es de cartes, syst\u00e8mes influen\u00e7ant ces flux et r\u00e9partition des responsabilit\u00e9s.<\/td>P\u00e9rim\u00e8tre PCI confirm\u00e9 et preuves de validation applicables.<\/td><\/tr>\n
Exploitation du service<\/th>Disponibilit\u00e9, reprise, escalade de l’assistance et int\u00e9grit\u00e9 des transactions.<\/td>D\u00e9finitions du SLA, preuves de surveillance et r\u00e9sultats d’exercices de reprise.<\/td><\/tr>\n<\/tbody><\/table><\/div>\n

Le catalogue des normes GLI<\/a> distingue les normes d’\u00e9valuation des jeux et de la s\u00e9curit\u00e9. Une entr\u00e9e au catalogue ne prouve pas qu’un produit particulier est certifi\u00e9. Confirmez la norme exacte et les preuves accept\u00e9es pour votre exigence ; ne supposez pas qu’un certificat couvre toute configuration ou utilisation.<\/p>\n

S\u00e9lectionnez les prestataires ind\u00e9pendants avant la fen\u00eatre de lancement<\/h2>\n

V\u00e9rifiez comp\u00e9tences pertinentes, accr\u00e9ditation ou reconnaissance si n\u00e9cessaire, ind\u00e9pendance, conflits, sous-traitants et disponibilit\u00e9. Une mise en relation avec un laboratoire ne d\u00e9montre pas son admissibilit\u00e9 et ne garantit pas l’acceptation de son rapport. Convenez par \u00e9crit du p\u00e9rim\u00e8tre, des m\u00e9thodes, des exclusions, des \u00e9l\u00e9ments d’entr\u00e9e, de la confidentialit\u00e9, des usages permis des conclusions, des frais de nouveaux tests et des livrables.<\/p>\n

Pour les paiements, le PCI SSC d\u00e9crit PCI DSS<\/a> comme prot\u00e9geant les donn\u00e9es des comptes de paiement, y compris pour les entit\u00e9s susceptibles d’affecter l’environnement des donn\u00e9es de titulaires de cartes. N’assimilez pas l’externalisation de l’encaissement \u00e0 l’absence de responsabilit\u00e9s. Cartographiez les flux r\u00e9els et confirmez votre p\u00e9rim\u00e8tre et votre voie de validation applicables avec la contrepartie de paiement concern\u00e9e et un \u00e9valuateur qualifi\u00e9.<\/p>\n

Rattachez les r\u00e9sultats des tests \u00e0 la version d\u00e9ploy\u00e9e<\/h2>\n

L’ing\u00e9nierie doit tenir un manifeste de version couvrant identifiants ou empreintes de compilation, d\u00e9pendances, configuration, infrastructure, jeux et int\u00e9grations. Consignez l’environnement de test et expliquez les diff\u00e9rences avec la production. Donnez aux \u00e9valuateurs un acc\u00e8s journalis\u00e9 et limit\u00e9 dans le temps ; minimisez les donn\u00e9es et utilisez des canaux de transfert s\u00e9curis\u00e9s approuv\u00e9s.<\/p>\n

Le registre des preuves doit relier chaque constat \u00e0 la version concern\u00e9e, sa gravit\u00e9, son responsable, l’action corrective, le contr\u00f4le temporaire, le nouveau test et la d\u00e9cision de cl\u00f4ture. Conservez en s\u00e9curit\u00e9 les rapports et constats d\u00e9favorables, y compris dans les synth\u00e8ses destin\u00e9es \u00e0 la direction. La s\u00e9curit\u00e9 r\u00e9pond des corrections techniques ; la conformit\u00e9 v\u00e9rifie la couverture des exigences ; la gestion des versions v\u00e9rifie que le d\u00e9ploiement correspond aux preuves. Nommez les personnes pouvant accepter le risque r\u00e9siduel sans \u00e9carter une exigence externe.<\/p>\n

Un constat critique pr\u00e8s du lancement<\/h3>\n

Si un test d’intrusion r\u00e9v\u00e8le un acc\u00e8s \u00e0 des comptes privil\u00e9gi\u00e9s, isolez l’environnement concern\u00e9, \u00e9valuez l’exposition et impliquez les responsables s\u00e9curit\u00e9, ing\u00e9nierie, conformit\u00e9 et juridique. Corrigez la cause profonde et examinez les composants li\u00e9s. Obtenez des preuves de nouveaux tests ind\u00e9pendants ; ne r\u00e9duisez pas la gravit\u00e9 pour pr\u00e9server la date. Retardez ou r\u00e9duisez le p\u00e9rim\u00e8tre du lancement si les conditions d’acceptation autoris\u00e9es ne peuvent \u00eatre remplies.<\/p>\n

R\u00e9servez du temps pour les questions de p\u00e9rim\u00e8tre, les corrections et les nouveaux tests, pas seulement pour l’\u00e9valuation initiale. Un changement ult\u00e9rieur de biblioth\u00e8que d’authentification peut affecter sessions, permissions et notifications de paiement : \u00e9valuez son impact et demandez aux sp\u00e9cialistes concern\u00e9s si des tests cibl\u00e9s ou plus larges sont n\u00e9cessaires.<\/p>\n

Transformez les annonces de disponibilit\u00e9 en SLA op\u00e9rationnel<\/h2>\n

Un SLA est une d\u00e9finition contractuelle, pas une certification. Pr\u00e9cisez parcours couverts, p\u00e9riodes de mesure, lieux de surveillance, calcul et exclusions. La disponibilit\u00e9 se calcule couramment en divisant le temps admissible moins l’indisponibilit\u00e9 comptabilis\u00e9e par le temps admissible. Pour une p\u00e9riode illustrative de 30 jours, 99,9 % autorise 43,2 minutes d’indisponibilit\u00e9 comptabilis\u00e9e. Ce pourcentage dit peu sur une panne juste avant la cl\u00f4ture des ventes de billets.<\/p>\n

\n\n
Questions de SLA \u00e0 r\u00e9gler avant signature<\/caption>\n
Sujet<\/th>Demandez au fournisseur<\/th><\/tr><\/thead>\n
Service couvert<\/th>La disponibilit\u00e9 inclut-elle connexion, confirmation des billets, API et acc\u00e8s administratif ? Comment les pannes partielles sont-elles compt\u00e9es ?<\/td><\/tr>\n
D\u00e9pendances et exclusions<\/th>Comment sont class\u00e9es les pannes de paiement ou de flux de tirages ? Quels pr\u00e9avis et limites s’appliquent \u00e0 la maintenance ?<\/td><\/tr>\n
R\u00e9ponse aux incidents<\/th>Quelle gravit\u00e9 d\u00e9clenche une escalade permanente ? Accus\u00e9 de r\u00e9ception, mises \u00e0 jour et r\u00e9tablissement ont-ils des objectifs distincts ?<\/td><\/tr>\n
Reprise<\/th>Quels RTO et RPO sont propos\u00e9s pour chaque service critique ? Quel exercice les d\u00e9montre ?<\/td><\/tr>\n
Preuves et recours<\/th>Qui re\u00e7oit les mesures et rapports d’incident ? Comment sont trait\u00e9s litiges, avoirs et manquements r\u00e9p\u00e9t\u00e9s ?<\/td><\/tr>\n<\/tbody><\/table><\/div>\n

L’objectif de d\u00e9lai de reprise (RTO) est le d\u00e9lai cible pour r\u00e9tablir le service ; l’objectif de point de reprise (RPO) est la limite cible de perte de donn\u00e9es exprim\u00e9e en temps. Un calendrier de sauvegarde ne prouve \u00e0 lui seul ni l’un ni l’autre. Demandez d\u00e9lais de reprise observ\u00e9s, points de donn\u00e9es restaur\u00e9s, pr\u00e9requis et exceptions. Les chiffres pr\u00e9sent\u00e9s sont des exemples d’achat, non des engagements de service WhiteLotto. Incluez les responsabilit\u00e9s de tests et de reprise dans votre comparaison des prix de logiciels<\/a>.<\/p>\n

Testez les pannes et la restauration, pas seulement le trafic normal<\/h2>\n

La confirmation du billet est perdue<\/h3>\n

Un client transmet une commande, mais la r\u00e9ponse d\u00e9passe le d\u00e9lai d’attente. Testez si une nouvelle tentative r\u00e9utilise l’identit\u00e9 de la requ\u00eate, v\u00e9rifie son statut et \u00e9vite un billet ou un d\u00e9bit en double. Consignez la transaction accept\u00e9e, la d\u00e9cision de cl\u00f4ture des ventes et le r\u00e9sultat du rapprochement. Une page d’accueil r\u00e9active ne doit pas masquer un parcours d’achat d\u00e9faillant.<\/p>\n

La restauration de la base r\u00e9ussit, mais les enregistrements divergent<\/h3>\n

Utilisez un exercice isol\u00e9 autoris\u00e9 pour restaurer les enregistrements et comparer commandes, r\u00e9f\u00e9rences de paiement, soldes et \u00e9tats des billets. V\u00e9rifiez \u00e9v\u00e9nements manquants ou dupliqu\u00e9s, rejeu des int\u00e9grations, continuit\u00e9 d’audit et t\u00e2ches en attente. V\u00e9rifiez la disponibilit\u00e9 des cl\u00e9s et d\u00e9pendances sans exposer de secrets. Convenez de la personne qui rapproche les \u00e9carts avant de rouvrir les ventes ; ne cr\u00e9ez pas de transactions clients r\u00e9elles pour l’exercice.<\/p>\n

Assemblez le dossier de preuves du lancement<\/h2>\n