Sécurité

Dernière mise à jour : 6 octobre 2026

Comment nous signaler une faille, où sont vos données, qui les reçoit et quelles protections sont en place.

Signaler une faille

Écrivez-nous en privé, sans ouvrir de ticket public, à : storafix@gmail.com

Indiquez la page ou le composant concerné, les étapes pour reproduire la faille et son impact. N'envoyez jamais de secret réel ni de donnée personnelle.

Vous recevrez une réponse sous 7 jours.

Pendant vos recherches : aucun test destructif (déni de service, suppression ou modification de données), aucun accès aux données d'un autre client, uniquement vos propres comptes, et pas de publication avant que la faille soit corrigée.

Nous n'engagerons aucune poursuite contre un chercheur qui agit de bonne foi et respecte ces règles.

Hébergement et données

Le service CopperSentry (application, base de données et moteur d'analyse) est hébergé chez OVHcloud, en France, dans l'Union européenne, sur des serveurs que nous administrons. Vos données y sont stockées.

Pendant un scan, votre code est copié dans un espace de travail temporaire du moteur d'analyse, supprimé à la fin du scan. Le moteur n'a pas accès à la base de données.

Les rapports de scan (failles trouvées, chemins de fichiers, numéros de ligne et courts extraits de code, secrets détectés masqués) sont conservés : à chaque nouveau scan, ceux de plus de 90 jours et ceux au-delà des 500 plus récents du compte sont effacés.

Une réparation IA conserve, avec votre demande, le correctif livré : fichier corrigé, diff ou lien de la pull request.

Les événements envoyés par l'agent de veille et par le pare-feu applicatif (WAF) sont effacés au-delà de 30 jours, à chaque nouvel envoi.

Sur demande, la suppression de votre compte efface ces données.

Sous-traitants et ce qu'ils reçoivent

OVHcloud (hébergement) : les serveurs qui font tourner le service et stockent ses données.
Mistral AI (intelligence artificielle) : les analyses et remèdes IA génériques n'envoient à Mistral que des métadonnées publiques de la règle et une forme anonymisée de l'extrait (identifiants, chaînes et nombres effacés) : aucune ligne de votre code, aucun secret. Seule la réparation IA, quand vous la demandez, envoie le fichier concerné, secrets masqués, à Mistral, fournisseur d'IA européen.
Stripe (paiement) : l'adresse e-mail du compte, un identifiant interne du compte et l'offre achetée. Votre carte est saisie sur la page de paiement de Stripe : CopperSentry ne la voit pas.
Bill (facturation électronique Factur-X) : à chaque paiement, l'adresse e-mail, le montant, la devise et le libellé de la facture.
Relais d'e-mail (SMTP) : l'adresse du destinataire et le contenu des e-mails du service, comme la vérification d'adresse ou la réinitialisation du mot de passe.
DB-IP n'est pas un sous-traitant : sa base de pays par adresse IP est téléchargée une fois par mois et interrogée sur nos serveurs ; votre adresse IP ne lui est pas envoyée.

Mesures techniques en place

Mots de passe jamais stockés en clair : seule leur empreinte scrypt, avec un sel aléatoire propre à chaque mot de passe, est conservée.
Double authentification par application (codes TOTP à six chiffres).
Cookie de session __Host-, HttpOnly, Secure et SameSite : inaccessible au JavaScript de la page et limité à notre domaine.
Politique de sécurité du contenu (CSP) stricte : seuls les scripts du site s'exécutent, aucune ressource tierce n'est chargée et le site ne peut pas être intégré dans une autre page.
HTTPS imposé au navigateur (HSTS).
Les jetons d'accès à vos dépôts connectés et le secret de la double authentification sont chiffrés en base (AES-256-GCM).
Attestations signées (Ed25519) : la clé publique est publiée, chacun peut vérifier une attestation sans nous.
Les actions de la défense active sont inscrites dans un journal d'audit chaîné (SHA-256) en ajout seul : toute ligne modifiée, supprimée ou insérée après coup est détectée.
Le moteur d'analyse tourne dans un conteneur isolé, sous un utilisateur sans droits root ni capacité système, avec un système de fichiers en lecture seule.
Un pare-feu de sortie interdit au moteur toute connexion vers le réseau interne du serveur ; s'il ne peut pas être posé, le moteur refuse de démarrer.
CopperSentry ne détient aucune certification ISO 27001 ou SOC 2 : cette page décrit des mesures, pas un label.

Vérifier par vous-même

Ces informations sont publiques et vérifiables :