Sécurité de Pixelay

Pixelay s’exécute comme un plugin officiel dans l’application Figma ; les plugins sont examinés et approuvés par l’équipe Figma.

Le plugin Figma est exécuté directement depuis les serveurs de Figma et s’exécute dans votre fichier Figma. Il hérite donc de toute la sécurité et de l’infrastructure de la plateforme Figma, qui dépassent les normes du secteur en matière de protection des données et de sécurité :

  • SOC 2 Type 2
  • SOC 3
  • Cloud Security Alliance (CSA) STAR: Level 1
  • ISO/IEC 27001:2013
  • ISO/IEC 27018:2019
  • EU Cloud Code of Conduct (COC): Level 2

Aucun logiciel supplémentaire n’est à installer pour utiliser le plugin Figma : les plugins Figma fonctionnent comme une partie intégrée des fonctionnalités natives de Figma, et tous les plugins Figma sont accessibles et peuvent être lancés instantanément depuis n’importe quel fichier Figma ou via l’écosystème officiel de la Figma Community dans l’application Figma.

Si votre organisation a déjà approuvé l’utilisation de Figma, vous avez déjà accès aux plugins Figma.

Fonctionnement de Pixelay ​

Le plugin Figma Pixelay aide les utilisateurs à comparer leurs maquettes Figma avec les URL de leurs vrais sites web.

Pixelay est conçu dans un souci de confidentialité et de sécurité : toutes les comparaisons se font sur votre propre domaine via l’extension de navigateur Pixelay, et toutes les images mises en ligne sont chiffrées en AES-256.

L’application web Pixelay charge les URL de votre propre domaine que vous avez indiquées pour la comparaison sous forme de balises <iframe title="Pixelay Security interactive preview 1">, ce qui vous permet de comparer plusieurs pages et designs en même temps sur une même page web dans le navigateur. Rien de votre site web n’est jamais envoyé, traité, utilisé ni lu par quoi que ce soit : il reste simplement en « lecture seule », intégré dans une balise <iframe title="Pixelay Security interactive preview 2"> via l’extension de navigateur Pixelay.

Les services de mise en ligne et de stockage cloud utilisés par le plugin Pixelay et l’application web Pixelay sont hébergés sur Google Cloud (la même infrastructure que celle qui héberge tous les produits de Google), via Google Firebase.

Comme l’indique la page Privacy and Security in Firebase, tous les services Firebase (à l’exception d’App Indexing) ont passé avec succès les évaluations ISO 27001 ainsi que SOC 1, SOC 2 et SOC 3, et certains ont également obtenu les certifications ISO 27017 et ISO 27018.

Ce que Pixelay fait et ne fait pas ​

Pixelay utilise l’API Figma Plugins pour exporter des designs Figma, que vous pouvez ensuite comparer avec les URL de votre propre site dans le navigateur grâce à l’extension de navigateur Pixelay.

Pixelay permet de ​

  • Générer des liens pour comparer vos designs avec les URL de votre vrai site web (sans avoir besoin d’un compte Figma).
  • Utiliser l’extension de navigateur Pixelay pour afficher votre identifiant unique (sur votre propre domaine).
  • Chiffrer les images mises en ligne en AES-256.
  • Supprimer automatiquement les URL et les fichiers mis en ligne qui n’ont pas été consultés depuis 180 jours.

Ce que Pixelay ne fait pas ​

  • Il ne rend aucun design envoyé via le plugin accessible publiquement ni indexable par un moteur de recherche.
  • Il ne crée pas d’URL publique (l’extension de navigateur ne s’exécute que sur votre propre domaine).
  • Il ne collecte ni ne stocke aucune information personnelle (les plugins Figma ne peuvent pas accéder aux informations privées des projets Figma, des équipes Figma ou des utilisateurs Figma).

Fonctionnement des plugins Figma ​

Les plugins Figma sont écrits en HTML/CSS/Javascript et s’exécutent dans un environnement sandbox étroitement contrôlé au sein de l’application Figma.

Les plugins Figma ne peuvent faire que ce que Figma leur permet, dans les limites des autorisations de l’API Figma Plugins, et surtout, les plugins n’ont aucun accès aux informations personnelles de l’utilisateur Figma qui lance le plugin.

Ce que les plugins Figma peuvent et ne peuvent pas faire ​

Comme l’explique l’article sur la sécurité des plugins Figma, les plugins Figma ne peuvent faire qu’un nombre limité de choses, et il y en a beaucoup plus qu’ils ne peuvent pas faire :

Les plugins Figma peuvent ​

  • Être lancés uniquement par une action explicite de l’utilisateur
  • Afficher une interface dans une seule boîte de dialogue propre au plugin
  • Lire toutes les données de votre document Figma (par exemple, un plugin « trouver un calque par son nom »)
  • Modifier toutes les données de votre document Figma (par exemple, un plugin « renommer les calques sélectionnés »)
  • Communiquer avec n’importe quel serveur sur Internet (par exemple, un plugin « importer depuis le service X »)

Les plugins Figma ne peuvent pas ​

  • Se lancer d’eux-mêmes
  • Obtenir des informations sur le projet ou l’équipe propriétaire du fichier
  • Accéder à quoi que ce soit lorsqu’ils ne sont pas en cours d’exécution
  • Accéder aux données d’autres fichiers que celui dans lequel ils ont été lancés
  • Modifier l’interface de Figma en dehors de la boîte de dialogue du plugin

Les administrateurs du compte Figma de votre entreprise peuvent configurer une liste de plugins autorisés au sein de l’organisation. Cela permet d’empêcher le lancement de plugins Figma non fiables dans n’importe quel fichier de cette organisation.