Sécurité et confiance
Comment nous protégerons la liste de vos failles.
Vulnward est lui-même un produit soumis au CRA. Nous appliquerons à notre produit ce que nous vous aidons à faire. Cette page dit ce qui est vrai aujourd'hui, et ce qui est prévu. Votre parc installé (références clients, versions, pays, contacts) est importé séparément, depuis vos systèmes, et protégé comme décrit plus bas.
Ce qui quittera votre CI
Envoyé
Le SBOM CycloneDX de la release
Les manifestes de dépendances (option)
Nom du produit, version, commit
Jamais envoyé
Votre code source
Vos secrets et variables de CI
Les données traitées par votre produit
Signaler une vulnérabilité
Écrivez-nous à l'adresse indiquée dans notre fichier security.txt. Accusé de réception sous 2 jours ouvrés ; nous coordonnons la publication avec vous.
Le produit Vulnward, à son lancement
| Sous-traitant | Usage | Localisation |
|---|---|---|
| Scaleway | Hébergement, base de données, stockage des preuves | France (Paris) |
| Zitadel | Identité et authentification | Région UE |
| Resend | E-mails d'alerte (sans détail de faille) et avis à vos clients (lien personnel uniquement) | Société américaine ; envoi depuis la région UE (Irlande) |
| Fournisseur de modèles d'IA (Claude) | Propositions IA, jamais de code ni de secret, jamais votre liste de clients | Traitement dans l'UE |
| Prestataire d'horodatage qualifié eIDAS | Horodatage des moments clés : ne reçoit qu'une empreinte, jamais le contenu | France (choix en cours) |
Isolation
Chaque organisation est isolée au niveau de la base de données (sécurité au niveau des lignes), en plus des contrôles applicatifs.
Authentification
Double authentification obligatoire pour les propriétaires et administrateurs ; SSO d'entreprise prévu.
Preuves
Stockage à verrouillage d'objet et journal d'audit chaîné par empreintes.
IA
L'IA propose, vos équipes décident. Aucun envoi à une autorité ni à vos clients sans action humaine.
Votre liste de clients
Mode pseudonyme possible ; noms et contacts chiffrés ; jamais envoyés à l'IA ni écrits dans les journaux.
Avis à vos clients
L'e-mail ne contient qu'un lien personnel ; le détail de la faille reste derrière ce lien, qui expire.
Ce site, aujourd'hui
Ce site vitrine ne dépose aucun cookie et ne contient aucun traceur publicitaire. Le formulaire de diagnostic transmet vos réponses par e-mail au fondateur et vous envoie un accusé de réception ; elles ne sont pas stockées dans une base de données.
| Sous-traitant | Usage | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de ce site et traitement du formulaire | Fonctions exécutées à Paris ; société américaine (EU-U.S. Data Privacy Framework) |
| Resend | Acheminement des e-mails du formulaire | Société américaine ; envoi depuis la région UE (Irlande) |
| Google (Gmail) | Boîte de réception du fondateur | Société américaine |
| Bunny Fonts | Polices de caractères, sans cookie | Slovénie (UE) |
Notre propre SBOM sera publié ici dès la première version de la CLI Vulnward.