Comment nous protégeons QoBot et vos données
Nous construisons un RSSI virtuel : notre propre sécurité est la première chose à vérifier. Voici ce que nous faisons aujourd'hui, et comment nous signaler une vulnérabilité.
Vos données restent sur votre ordinateur
L'application de bureau garde votre espace de travail sécurité dans un dossier de votre machine, avec tout son historique. Rien n'en sort sans votre accord, hormis les appels à votre propre fournisseur d'IA.
Hébergé en France
Notre API, sa base de données et ce site tournent chez OVHcloud à Paris, chiffrés en transit et au repos. Nos prestataires sont listés dans Sous-traitants.
Moindre privilège
Chaque compte de service n'a que les droits dont il a besoin. Les clés d'API sont hachées au repos, limitées en portée, révocables et soumises à des limites de débit.
Aucun code tiers par défaut
Ce site ne charge des scripts et des styles que depuis qobot.io, sous une politique de sécurité du contenu (CSP) stricte. Aucun gestionnaire de balises. Un traceur publicitaire ne se charge qu'après votre accord.
Aucun contenu dans nos journaux
Journaux et télémétrie ne contiennent jamais le contenu des conversations. La télémétrie de l'application suit vos réglages, et vous pouvez la couper.
Vous validez chaque action
Dans l'application, tout ce qui a un effet à l'extérieur (réseau, suppression de fichiers, envoi) attend votre accord. Les instructions trouvées dans un document ne s'exécutent jamais sans votre confirmation.
L’application de bureau
- Construite sur Electron avec ses protections activées : isolation de contexte, interface en bac à sable, pas de Node.js dans l’interface, CSP stricte, aucun code distant, et seuls des messages validés entre l’interface et le cœur.
- La clé d’API de votre fournisseur d’IA est stockée dans le trousseau de votre système d’exploitation, jamais dans l’espace de travail ni dans les journaux.
- L’application n’installe seule ses mises à jour que si la version est signée. Tant que la signature n’est pas en place sur un système, elle vous signale la nouvelle version et vous renvoie vers la page de téléchargement.
- Les fichiers de l’espace de travail, les questionnaires et les pages web sont traités comme des entrées non fiables : leur contenu ne peut pas déclencher d’action sans vous.
Nos serveurs
- Hébergés chez OVHcloud, région Paris, avec chiffrement en transit et au repos.
- Les journaux enregistrent la méthode, la route et le statut de chaque requête : ni contenu, ni adresse IP. Les limites de débit utilisent une empreinte de l’IP, conservée 24 heures.
- La télémétrie produit n’atteint PostHog UE que par notre propre point d’entrée, qui applique votre niveau de télémétrie et supprime votre IP.
- Les sauvegardes sont testées.
Notre façon de travailler
- L’authentification multifacteur est obligatoire pour tous les membres de notre organisation GitHub. La branche principale est protégée : chaque changement passe par une revue et des contrôles automatiques au vert.
- Détection des secrets avec blocage à l’envoi et alertes sur les dépendances activées.
- Aucun secret en clair dans notre code. Les secrets sont chiffrés avec SOPS, avec une clé par personne et une clé de production détenue seulement par notre chaîne de déploiement.
Votre questionnaire
Besoin de nos réponses pour votre propre questionnaire de sécurité ? Écrivez à security@qobot.io.
Divulgation des vulnérabilités
Les signalements des chercheurs en sécurité sont les bienvenus. Si vous pensez avoir trouvé une vulnérabilité dans qobot.io, api.qobot.io ou l’application de bureau QoBot, écrivez à security@qobot.io en décrivant ce que vous avez trouvé, les étapes pour le reproduire et l’impact probable. En français ou en anglais. Nos coordonnées figurent aussi dans /.well-known/security.txt.
Nos engagements
- accuser réception de votre signalement sous 2 jours ouvrés ;
- vous tenir informé jusqu’à la correction ;
- vous remercier publiquement une fois la faille corrigée, si vous le souhaitez ;
- n’engager aucune poursuite contre une recherche menée de bonne foi dans ces règles.
Ce que nous vous demandons
- ne testez que vos propres comptes et données ; arrêtez-vous et prévenez-nous dès que vous atteignez les données de quelqu’un d’autre, et ne les conservez pas ;
- pas de déni de service, de spam, d’ingénierie sociale ni d’attaque physique, et aucun test des systèmes de nos prestataires (OVHcloud, Resend, PostHog…) ;
- laissez-nous un délai raisonnable pour corriger (90 jours sauf accord contraire) avant toute publication.
Nous n’avons pas encore de programme de bug bounty rémunéré.