Comment nous protégeons QoBot et vos données
Nous construisons un RSSI virtuel, donc notre propre sécurité est la première chose à vérifier. Voici ce que nous faisons aujourd'hui, et comment nous signaler une vulnérabilité.
Vos données restent sur votre ordinateur
L'application de bureau garde votre espace sécurité dans un dossier sur votre ordinateur, avec tout son historique. Rien n'en sort sans votre accord, sauf les appels à votre propre fournisseur d'IA.
Hébergé en France
Notre API, sa base de données et ce site tournent chez OVHcloud à Paris, chiffrés en transit et au repos. Nos prestataires sont listés dans Sous-traitants.
Moindre privilège
Chaque compte de service n'a que les droits dont il a besoin. Les clés d'API sont stockées hachées, limitées à un périmètre, révocables et plafonnées en nombre d'appels.
Aucun code tiers par défaut
Ce site charge ses scripts et ses styles uniquement depuis qobot.io, avec une politique de sécurité du contenu (CSP) stricte et sans gestionnaire de balises. Un traceur publicitaire se charge seulement après votre accord.
Aucun contenu dans nos journaux
Nos journaux ne contiennent jamais le contenu de vos conversations. La version gratuite envoie des données d'usage, uniquement vos interactions avec le produit, qui nous aident à faire progresser QoBot. Le contenu de votre espace (documents, conversations) n'est jamais utilisé pour cela.
Vous validez chaque action
Dans l'application, tout ce qui a un effet à l'extérieur (réseau, suppression de fichiers, envoi) attend votre accord. Les instructions trouvées dans un document ne s'exécutent jamais sans votre confirmation.
L’application de bureau
- Construite sur Electron avec ses protections activées : isolation de contexte, interface en bac à sable, pas de Node.js dans l’interface, CSP stricte, aucun code distant, et des échanges entre l’interface et le cœur limités à des messages validés.
- La clé d’API de votre fournisseur d’IA est stockée dans le trousseau de votre système d’exploitation, jamais dans l’espace de travail ni dans les journaux.
- L’application installe elle-même ses mises à jour seulement quand la version est signée. Sur un système où la signature n’est pas encore en place, elle vous prévient qu’une nouvelle version existe et vous renvoie vers la page de téléchargement.
- Les fichiers de l’espace de travail, les questionnaires et les pages web sont traités comme des entrées non fiables : leur contenu ne peut pas déclencher d’action sans vous.
Nos serveurs
- Hébergés chez OVHcloud, région Paris, avec chiffrement en transit et au repos.
- Les journaux enregistrent la méthode, la route et le statut de chaque requête : ni contenu, ni adresse IP. Les limites de débit utilisent une empreinte de l’IP, conservée 24 heures.
- Les données d’usage de l’application passent par notre propre point d’entrée avant d’arriver chez PostHog UE. Ce point d’entrée supprime votre IP.
- Les sauvegardes sont testées.
Notre façon de travailler
- L’authentification multifacteur est obligatoire pour tous les membres de notre organisation GitHub. La branche principale est protégée : chaque changement passe par une revue et des contrôles automatiques au vert.
- La détection de secrets, avec blocage au moment du push, et les alertes sur les dépendances sont activées.
- Aucun secret en clair dans notre code, jamais. Nous les chiffrons avec SOPS : une clé par personne, et une clé de production que seule notre chaîne de déploiement détient.
Votre questionnaire
Besoin de nos réponses pour votre propre questionnaire de sécurité ? Écrivez à security@qobot.io.
Divulgation des vulnérabilités
Les signalements des chercheurs en sécurité sont les bienvenus. Si vous pensez avoir trouvé une vulnérabilité dans qobot.io, api.qobot.io ou l’application de bureau QoBot, écrivez à security@qobot.io en décrivant ce que vous avez trouvé, les étapes pour le reproduire et l’impact probable. En français ou en anglais. Nos coordonnées figurent aussi dans /.well-known/security.txt.
Nos engagements
- accuser réception de votre signalement sous 2 jours ouvrés ;
- vous tenir informé jusqu’à la correction ;
- vous remercier publiquement une fois la faille corrigée, si vous le souhaitez ;
- n’engager aucune poursuite contre une recherche menée de bonne foi dans ces règles.
Ce que nous vous demandons
- ne testez que vos propres comptes et données ; arrêtez-vous et prévenez-nous dès que vous atteignez les données de quelqu’un d’autre, et ne les conservez pas ;
- pas de déni de service, de spam, d’ingénierie sociale ni d’attaque physique, et aucun test des systèmes de nos prestataires (OVHcloud, Resend, PostHog…) ;
- laissez-nous un délai raisonnable pour corriger (90 jours sauf accord contraire) avant toute publication.
Nous n’avons pas encore de programme de bug bounty rémunéré.