Signaler une vulnérabilité

Merci de ne pas ouvrir un ticket public pour une vulnérabilité non divulguée. Les signalements de bonne foi sont pris au sérieux.

Utilisez les canaux indiqués dans notre politique de confidentialité (section Contact) ou l'exploitant du site pour cette instance.

Indiquez la surface concernée (web, extension, API, cryptographie), une description courte et des étapes de reproduction si possible. Pour le dépôt open source, voir aussi SECURITY.md à la racine du projet.

Périmètre

Exemples de sujets pertinents :

Chiffrement du coffre, dérivation de clé ou sérialisation dans le code client et les bibliothèques partagées.
Signature wallet, délégations ou abus des API de sync / vault-CID.
Isolation de l'extension, scripts de contenu ou frontières de messagerie.
Traitement serveur du chiffré, des signatures ou des métadonnées pouvant affaiblir la sécurité.
Contrats intelligents régissant les accès et la récupération fragmentée.

Délais indicatifs & Bug Bounty

Nous accusons réception des signalements valides sous 48 heures ouvrées. Nous proposons un programme de primes (Bug Bounty) récompensant les chercheurs découvrant des failles critiques.

Architecture de sécurité en bref

VaultKeepR applique un modèle strictement zero-knowledge : le chiffrement du coffre est réalisé côté client avec XChaCha20-Poly1305 (construction à nonce étendu de 192 bits, dérivée de ChaCha20-Poly1305, RFC 8439) et la clé maîtresse est dérivée localement via Argon2id (RFC 9106), une fonction de dérivation à mémoire dure qui neutralise les attaques par force brute sur GPU et ASIC.

Le coffre chiffré est stocké de manière décentralisée sur IPFS (adressage par contenu, aucun serveur central à compromettre) et synchronisé via des CRDT Automerge. L'authentification repose sur les passkeys WebAuthn (recommandation W3C, credentials liés au matériel et résistants au phishing) et l'Account Abstraction ERC-4337. La récupération utilise un partage de secret de Shamir 3-sur-5 : aucun opérateur — ni nous, ni un tiers — ne peut reconstituer votre coffre seul.

Protection des données : RGPD & minimisation

Le RGPD cite le chiffrement parmi les mesures techniques appropriées pour garantir la confidentialité des données (article 32). VaultKeepR va au-delà : par conception, nous ne collectons ni email, ni numéro de téléphone, ni donnée personnelle exploitable. Le principe de minimisation des données (article 5.1.c) est respecté à la source — les données personnelles n'existent pas côté serveur, seules des données chiffrées que nous ne pouvons pas déchiffrer transitent.

Conséquence pratique : en cas de compromission de nos infrastructures, un attaquant n'obtiendrait que des blobs chiffrés indéchiffrables sans votre clé maîtresse — et aucune base d'identités à réutiliser.

Bonnes pratiques ANSSI & authentification forte

Nos choix s'alignent avec les recommandations de l'ANSSI et de Cybermalveillance en matière d'authentification : authentification forte sans SMS (canal réputé interceptable et vulnérable au SIM swapping), secrets à haute entropie protégés par un KDF à mémoire dure, et absence de questions de sécurité ou de canaux de réinitialisation contournables.

L'authentification par portefeuille cryptographique s'inscrit dans la dynamique européenne d'identité numérique (cadre eIDAS) : vos clés restent sous votre contrôle exclusif, conformément au principe de souveraineté de l'utilisateur. VaultKeepR ne revendique aucune certification : nous misons sur la transparence — code open-source auditable, protocoles publiés et programme de divulgation coordonnée.

Récupération sans faille humaine

Les recovery questions, les codes SMS et les liens de réinitialisation par email sont les vecteurs de compromission les plus exploités en pratique. VaultKeepR les élimine par construction : la récupération repose exclusivement sur vos fragments Shamir chiffrés (appareils de confiance, contacts de confiance, smart contract). Perdre un fragment n'est pas un incident de sécurité ; en réunir trois reconstitue votre accès — et rien d'autre ne peut le faire.

Sécurité