Sécurité
Nous gardons ce que veulent les attaquants. Nous le traitons comme tel.
La liste de vos composants et de leurs vulnérabilités connues est une carte pour un attaquant. Voici les règles sur lesquelles Provetry est construit.
Lecture seule, et seulement ce qu’il faut
Provetry lit vos manifestes de dépendances, fichiers de verrouillage et images de conteneurs pour établir votre SBOM. L’accès aux dépôts est en lecture seule, limité aux dépôts que vous choisissez, et vous pouvez le retirer à tout moment depuis votre hébergeur Git.
Hébergé dans l’Union européenne
Vos données sont stockées et traitées dans l’UE, dans une base non exposée à Internet, avec des sauvegardes quotidiennes chiffrées gardées dans l’UE.
Chiffré, en transit et au repos
TLS partout, HSTS, et les champs sensibles (jetons d’accès aux dépôts, brouillons de signalements) chiffrés dans la base avec une clé gardée à part.
Comptes
Double authentification, sessions visibles et révocables, et journal de chaque action sur votre espace avec les offres Pro et Consultant.
Aucun traceur
Aucun cookie publicitaire ou de suivi sur ce site, ni dans l’application. Les statistiques de visite, s’il y en a, sont anonymes et sans cookie.
Nous appliquons ce que nous vérifions
Ce site publie déjà un fichier security.txt et la politique de divulgation ci-dessous, comme le CRA vous le demande.
Signaler une vulnérabilité
Traduction fournie pour information. En cas de différence, la version anglaise fait foi.
Notre politique de divulgation coordonnée des vulnérabilités, celle que le CRA demande à chaque fabricant. Si vous pensez avoir trouvé une vulnérabilité dans Provetry, dites-le-nous : nous travaillerons avec vous pour la corriger avant toute publication.
Périmètre
- Ce site,
provetry.com, et l’application,app.provetry.com. - Le cœur open source, provetry-core : son outil en ligne de commande, son action GitHub et son modèle GitLab.
- Une vulnérabilité d’un composant que nous utilisons entre dans le périmètre quand elle touche Provetry. Nous la signalons aussi à qui maintient ce composant.
Comment signaler
Écrivez à security@provetry.com, en français ou en anglais. Dans la mesure du possible, indiquez ce qui est touché, les étapes pour reproduire ou une preuve de concept, l’impact possible, et si vous souhaitez être cité. Nos coordonnées sont aussi dans le fichier security.txt.
Nos engagements
- Accuser réception de votre signalement sous deux jours ouvrés.
- Vous donner une première évaluation sous cinq jours ouvrés, puis vous tenir informé jusqu’à la correction.
- Corriger sans délai, et prévenir les clients concernés quand leurs données ont pu être exposées.
- Convenir avec vous de la date de publication : par défaut 90 jours après le signalement, ou plus tôt une fois le correctif déployé.
- Vous citer dans nos nouveautés, si vous le souhaitez.
Ce que nous vous demandons
- Utilisez votre propre compte ou un espace de test. N’accédez pas aux données d’autres clients, ne les modifiez ni ne les supprimez, et arrêtez-vous dès que la vulnérabilité est démontrée.
- Ne dégradez pas le service : pas de déni de service, pas d’analyse automatisée en volume, pas d’ingénierie sociale envers notre équipe ou nos clients, pas d’attaque physique.
- Ne divulguez pas la vulnérabilité avant la date convenue avec nous.
Si vous suivez ces règles de bonne foi, nous n’engagerons pas de poursuites contre vous pour vos recherches et, si un tiers le faisait, nous ferions savoir que vous avez agi conformément à cette politique.
En général non retenu
Les rapports d’outils automatiques sans impact démontré, l’absence d’en-têtes de sécurité ou d’attributs de cookies sans conséquence exploitable, le self-XSS, le clickjacking sur des pages sans action sensible, les limites de débit sur des points d’accès non sensibles, et les numéros de version de logiciels publics.
Nous ne proposons pas de récompense financière. Dernière mise à jour le 8 novembre 2026.