La confiance d'abord
Un produit de sécurité qui serait négligent sur la sienne n'a aucune valeur. Voici, sans formule creuse, ce que l'analyse fait à votre site, ce que nous gardons, et ce que nous ne faisons jamais.
C'est la première question qu'on nous pose, et elle est légitime : personne ne veut qu'un outil inconnu vienne « tester » sa production un mardi matin.
Elle consulte des registres publics, enregistrements DNS, journaux de transparence des certificats, bases de vulnérabilités publiées, et elle charge vos pages comme le ferait un visiteur ou le robot de Google.
En volume, une analyse complète représente quelques dizaines de requêtes réparties sur une vingtaine de secondes. C'est moins qu'un visiteur qui parcourt votre catalogue.
Les durées ci-dessous ne sont pas déclaratives : une tâche de purge s'exécute chaque jour sur nos serveurs et efface définitivement ce qui a dépassé son terme.
| Donnée | Conservation |
|---|---|
| Adresse du site analysé | 12 mois |
| Résultats de l'analyse | 12 mois, ou jusqu'à votre demande de suppression |
| Adresse e-mail et compte | 3 ans après le dernier contact |
| Adresse IP et horodatage de connexion | 12 mois |
| Données de facturation | 10 ans, obligation légale, article L123-22 du Code de commerce |
Aucune donnée n'est vendue, louée ou cédée à des tiers. Vous pouvez demander la suppression de votre compte et de vos rapports à tout moment, et elle est traitée immédiatement. Le détail complet, avec les bases légales et la liste de nos sous-traitants, est dans nos informations légales.
Jamais stockés. Une empreinte scrypt avec sel par compte, et une comparaison à temps constant pour ne pas fuir d'information par la durée de la réponse.
Cookies HttpOnly, SameSite et signés. Jeton anti-CSRF sur chaque action modifiante. Les sessions expirées sont purgées automatiquement.
Un rapport appartient à un compte. Toute tentative d'y accéder depuis un autre compte renvoie une page introuvable, jamais un refus, qui confirmerait son existence.
Limitation des tentatives de connexion, et réponses identiques que l'adresse existe ou non, pour qu'on ne puisse pas énumérer nos utilisateurs.
Aucune coordonnée bancaire ne transite par nos serveurs. Tout passe par Stripe, qui porte seul cette responsabilité.
OVH, en France. Les serveurs qui traitent vos données sont situés dans l'Union européenne.
Ce sont exactement les contrôles que nous cherchons chez nos clients. Il serait difficile de les vendre sans les appliquer.
Oui, et la distinction mérite d'être précise. Lire ce qu'un serveur délivre publiquement n'est pas un accès frauduleux : c'est ce que fait tout navigateur. En revanche, contourner une protection ou extraire le contenu de données accessibles par erreur en serait un, au sens de l'article 323-1 du Code pénal.
C'est pourquoi notre moteur s'arrête à la détection. Il constate qu'un webhook répond sans signature ou qu'une base répond sans cloisonnement ; il ne lit pas ce qu'il y a derrière, et n'en conserve rien.
En lançant une analyse, vous déclarez être titulaire du site concerné ou mandaté par son titulaire. Cette autorisation figure à l'article 04 de nos conditions et peut être retirée à tout moment.
Un rapport REMPARO n'est ni un audit exhaustif, ni une certification, ni une garantie d'absence de vulnérabilité. Nous sommes tenus d'une obligation de moyens, et nous préférons le dire ici plutôt que de le cacher dans une clause.
Concrètement : nous ne verrons pas une faille logique propre à votre métier, ni une vulnérabilité qui demande d'être authentifié pour apparaître, sauf en offre Premium, où vous nous fournissez un compte de test. Et comme tout outil de ce type, nous produisons des faux positifs ; c'est pourquoi chaque constat est présenté avec ce qui a été observé, pour que vous puissiez vérifier vous-même.
Lancez l'analyse sur votre propre site et vérifiez chaque constat.