La sécurité, prise au sérieux.
NOVAR applique des standards d'ingénierie reconnus — chiffrement au repos, durcissement réseau, audits CVE continus, programme de divulgation responsable. Voici comment nous protégeons nos produits et nos utilisateurs.
Durcissement HTTP
HSTS preload (2 ans), Content-Security-Policy avec nonce par requête, X-Frame-Options DENY, X-Content-Type-Options nosniff, Permissions-Policy restrictive, Referrer-Policy strict-origin. Chaque réponse passe par notre middleware de sécurité.
Chiffrement des secrets
Dans BIRDY, tous les secrets sensibles (mots de passe SMTP, clés API, secrets MFA) sont chiffrés AES-256-GCM avec une clé maître stockée dans le coffre-fort de l'OS (Windows Credential Manager, macOS Keychain, Linux Secret Service). Aucun secret en clair sur le disque.
Authentification
Mots de passe hashés avec Argon2id (paramètres OWASP). Sessions tokens 30 jours révocables. MFA TOTP optionnel. OAuth Google supporté. Verrouillage automatique après tentatives échouées.
Audits continus
cargo audit (Rust) et pnpm audit (Node) tournent en CI à chaque commit. Les CVE de sévérité moderate ou supérieure bloquent le déploiement. gitleaks scanne automatiquement les commits pour détecter les fuites de secrets.
Données utilisateur
BIRDY tourne en local sur votre poste, dans une base SQLite chiffrée. Aucune télémétrie, aucune remontée de données. FEEDORA stocke les formulations sur un infra dédiée Vercel/Postgres avec sauvegardes chiffrées.
Divulgation responsable
Un programme de coordination est en place. Si vous avez identifié une vulnérabilité, écrivez-nous. Accusé de réception sous 48 h ouvrées. Nous nous engageons à ne pas poursuivre les chercheurs agissant en bonne foi.
Signaler une vulnérabilité
Nous accueillons les contributions de la communauté sécurité. Avant de divulguer publiquement, merci de nous laisser un délai raisonnable pour corriger.