Sécurité et traitement des données
Un outil de sécurité doit être transparent sur ses propres données. Voici ce que Scanverra collecte, ce qu'il ne voit jamais et où vont vos données.
Scans de sites
- Nous chargeons uniquement l'URL publique que vous saisissez, comme le ferait le navigateur d'un visiteur. Nous ne nous connectons jamais à votre site.
- Les résultats (scores, problèmes, mesures, stack détecté) sont enregistrés avec votre compte. Les données de performance viennent aussi de Google PageSpeed Insights, qui reçoit l'URL.
- Les audits lancés sans compte sont visibles par toute personne ayant le lien du rapport et sont supprimés au bout de 7 jours, sauf si vous les enregistrez dans un compte.
CLI et extension VS Code
- Votre code est analysé sur votre propre machine ou runner CI. Le contenu des fichiers n'est jamais envoyé.
- La CLI n'envoie que les résultats : chemin du fichier, ligne, règle, gravité et suggestion de correctif. La valeur des secrets n'est jamais incluse ; la ligne concernée n'est envoyée qu'avec --include-code.
- Les règles du scanner sont signées avec Ed25519. La CLI vérifie la signature et refuse d'exécuter tout ce que Scanverra n'a pas signé.
- --no-upload analyse sans rien envoyer, et --offline ne fait aucun appel réseau. L'extension VS Code n'envoie jamais de résultats.
Repo Scanner web
- Vous connectez GitHub ou Bitbucket via OAuth, et nous lisons le dépôt pour l'analyser sur nos serveurs.
- Le scope OAuth de GitHub pour les dépôts privés (repo) autorise la lecture et l'écriture. Scanverra ne fait que lire le code et n'écrit que lorsque vous ouvrez une pull request de correctif.
- Nous conservons les résultats, avec le court extrait de code de chacun, pas une copie de votre dépôt.
Analyse par IA
- Les explications et correctifs sont rédigés par des modèles d'IA tiers (Anthropic, OpenAI ou Google Gemini selon la tâche), appelés via leurs API.
- L'IA ne reçoit que des résultats : pour les sites, problèmes, mesures et stack d'une page publique ; pour le code, les résultats et les extraits signalés du Repo Scanner web.
- Quand vous ouvrez une pull request de correctif, le fichier modifié est envoyé pour appliquer le correctif. Les envois CLI ne contiennent pas de code, sauf avec --include-code.
Comptes et clés API
- Les mots de passe sont stockés sous forme de hachages bcrypt. Vous pouvez aussi vous connecter avec Google ou GitHub, et les équipes Enterprise peuvent utiliser le SSO SAML.
- Les clés API ne sont affichées qu'une fois et stockées uniquement sous forme de hachages SHA-256. Révoquez une clé à tout moment depuis la page Clés API.
- Le site n'est servi qu'en HTTPS, avec HSTS et des en-têtes de sécurité stricts.
Paiements
- Les paiements par carte sont gérés par Razorpay. Scanverra ne voit ni ne stocke jamais votre numéro de carte.
- Résiliez à tout moment depuis la page de facturation ; les remboursements suivent notre politique de remboursement.
Qui traite des données pour nous
Ces prestataires traitent des données pour le compte de Scanverra. L'analyse d'audience ne fonctionne qu'avec votre consentement, sauf Vercel Analytics, sans cookies.
| Prestataire | Finalité |
|---|---|
| Vercel | Hébergement et calcul serverless |
| Neon | Base de données (comptes, rapports, résultats) |
| Google (PageSpeed Insights, Gemini) | Données de performance des URL analysées ; analyse IA pour certaines tâches |
| Anthropic | Explications et correctifs par IA |
| OpenAI | Explications et correctifs par IA |
| Razorpay | Facturation des abonnements et paiements |
| Cloudinary | Images des articles et guides |
| Vercel Analytics, Google Analytics, Microsoft Clarity | Statistiques d'usage (Google et Microsoft seulement avec consentement) |
Signaler une vulnérabilité
Vous avez trouvé un problème de sécurité dans Scanverra ? Écrivez-nous avec les étapes pour le reproduire. Laissez-nous un délai raisonnable pour le corriger avant toute divulgation publique, et n'accédez pas aux données d'autres utilisateurs pendant vos tests.
support@scanverra.com