CENTRE DE CONFIANCE
La confiance se gagne en public.
Voici notre grand livre public.
Audits indépendants en cours. Une vraie politique de divulgation des vulnérabilités. Des bug bounties qui veulent dire quelque chose. Chaque avis que nous publions, au même endroit.
Nous ne poursuivrons pas les chercheurs
La recherche en sécurité de bonne foi est protégée. Notre politique de divulgation est une promesse contraignante, pas une ligne marketing.
Nous répondrons sous 72 heures
Première réponse humaine, identifiant de suivi inclus. Les calendriers de divulgation coordonnée démarrent à votre premier message.
Nous publions ce que nous corrigeons
Chaque avis est livré avec un CVE, un avant/après ancré par hachage et un crédit, sauf si vous nous demandez de ne pas le faire.
Nous ne livrons jamais en silence
Tous les correctifs de sécurité sont signés par trois rôles indépendants et apparaissent dans le journal des modifications public — le jour même.
PROGRAMME D’AUDIT INDÉPENDANT
Cinq relecteurs indépendants. Chacun choisi parce qu’il dira non.
Nous ne payons pas pour des conclusions. Nous payons pour la relecture. Si l’un de ces laboratoires revient avec une conclusion critique, nous la corrigeons et la publions avant le lancement public.
Revue indépendante sur la surveillance ciblée
Revue forensique pour les flux de travail des défenseurs des droits humains
Revue indépendante du code et du modèle de menace
Audit de l’implémentation cryptographique
Revue de sécurité au niveau source (noyau + moteurs souverains)
CERTIFICATIONS
Certifications réglementaires, suivies clairement.
BSI / ANSSI
NIST CMVP
Conformité radio USA
Radio EU + sécurité produit
Traitement des données EU
Socle de sécurité de l’information
BUG BOUNTY
Les montants sont réels. Lisez d’abord les règles.
Nous payons le montant indiqué pour un exploit fonctionnel et reproductible signalé sous divulgation coordonnée. Des paliers inférieurs existent pour les conclusions partielles. Le fonds est mis sous séquestre indépendamment.
AVIS
Chaque avis que nous avons publié.
Nous publions le jour même où nous corrigeons — même quand la conclusion est inconfortable.
Aucun avis n’a encore été publié — le produit est en bêta fermée. Quand le premier arrivera, il apparaîtra ici, dans le journal des modifications et comme entrée signée dans le grand livre d’audit sur l’appareil.
DIVULGATION RESPONSABLE
Signalez-nous quelque chose.
E-mail chiffré avec notre clé PGP, ou via un portail de type HackerOne que nous sommes sur le point d’ouvrir. Nous accusons réception sous 72 heures, coordonnons le calendrier avec vous, vous créditons et payons si cela y donne droit.
security.txtSPHÈRE DE SÉCURITÉ JURIDIQUE
Nous ne vous poursuivrons pas.
La recherche de bonne foi — y compris la rétro-ingénierie, l’analyse par canal auxiliaire et les tests sur émulateur — est explicitement autorisée. Nous n’invoquerons pas de lois anti-abus ni le droit des contrats contre les chercheurs agissant dans le cadre de cette politique.