Politique de sécurité

La politique complète vit dans SECURITY.md du dépôt vaultkeepr-public. Cette page la résume.

Signaler une vulnérabilité

N’ouvrez pas de ticket GitHub public pour une vulnérabilité de sécurité. Signalez-la en privé :

• GitHub Security Advisories (préféré) : utilisez le bouton « Report a vulnerability » de l’onglet Security du dépôt.
• E-mail : [email protected]

Incluez une description du problème et de son impact, les étapes de reproduction (une preuve de concept si possible) et les paquets et versions concernés. Le projet accuse réception des signalements sous 48 heures et vise un correctif ou une atténuation sous 30 jours, selon la gravité. La divulgation coordonnée est appréciée.

Périmètre

La politique couvre les paquets open source et les contrats Solidity : packages/core, packages/sync, packages/ipfs, packages/recovery, packages/premium, packages/wallet-messages, packages/smart-account, packages/cloud, packages/alias, packages/logger, packages/i18n, packages/ui, packages/sentry, packages/legacy, packages/ocr-native et contracts/.

L’application web, l’extension navigateur, les apps iOS/Android et le serveur entreprise/API sont dans un dépôt privé et hors périmètre de cette politique publique.

Objectifs de remédiation

Type de constat	Gravité	Objectif
Dépendance (SCA)	Critique / Élevée	Correctif ou atténuation sous 7 jours
Dépendance (SCA)	Moyenne	Sous 30 jours
Dépendance (SCA)	Faible	Sous 90 jours, ou acceptée avec justification écrite
SAST (CodeQL)	Nouveau Élevé/Critique	Bloque la fusion ; triage sous 7 jours

Les constats ouverts qui ne peuvent pas être corrigés en amont sont documentés dans le registre des risques acceptés de SECURITY.md et réévalués chaque mois.

Rapports de scan et audits

Les rapports de scan automatisés pour les clients livrés et l’app web sont publiés dans le dossier audits/ du dépôt. Ce sont des rapports générés par des outils, pas des audits de code manuels tiers. Les rapports passés couvrent l’extension, iOS et Android, des scans VirusTotal, un rapport MDN HTTP Observatory pour vaultkeepr.xyz, une analyse statique MobSF de l’APK Android et des exécutions de bout en bout Maestro. Ils sont actualisés à chaque release cliente.

Vérifier une release

Les artefacts clients (APK Android, IPA iOS, extensions navigateur) sont signés avec minisign ; la clé publique est commitée dans le dépôt sous minisign.pub :

gh release download v0.2.0 -R VaultKeepR/vaultkeepr-public
curl -LO https://raw.githubusercontent.com/VaultKeepR/vaultkeepr-public/main/minisign.pub
minisign -Vm vaultkeepr-android-v0.2.0.apk -p minisign.pub
shasum -a 256 -c checksums.txt

Chaque release livre un checksums.txt avec sa propre signature minisign. Si la vérification de signature échoue, n’installez pas l’artefact et ouvrez un advisory de sécurité.

Les paquets npm @vaultkeepr/* sont construits par GitHub Actions depuis le dépôt et portent une provenance de build SLSA :

npm pack @vaultkeepr/core
gh attestation verify vaultkeepr-core-0.1.3.tgz --repo VaultKeepR/vaultkeepr-public

Cette attestation couvre uniquement les tarballs npm du SDK. Les artefacts applicatifs sont construits sur la machine du mainteneur et couverts par la signature minisign et les checksums signés ; aucune provenance de build CI n’est revendiquée pour eux.