Modèle de sécurité
Qui peut écrire quoi, et comment les frontières sont appliquées. Résumé des propriétés garanties par le système ; la page sécurité du site en propose la version narrative.
Autorité d’écriture
- L’agent testé ou protégé ne détient jamais d’identifiants d’écriture du fournisseur. Seul le worker de COLVO (l’executor) écrit dans Stripe, et uniquement après autorisation de la politique ou approbation humaine.
- Les mandats proviennent de votre backend de confiance, avec une clé backend ; une clé agent peut uniquement proposer et lire.
- Des clés agent propres à chaque tentative sont générées pour les exécutions de test et limitées à cette tentative.
Isolation des tenants
Chaque table tenant applique la row-level security de Postgres, rattachée à l’organisation définie par la session ou la clé authentifiée. Le rôle de base de données de l’application ne peut pas la contourner ; les lectures entre organisations ne renvoient rien et les écritures sont refusées. Il en va de même dans le worker et dans les exports.
Rôles
- Rôles de l’organisation : owner (facturation, clés, membres, suppression), editor (configure, exécute, approuve), viewer (lecture).
- Superadmin (équipe COLVO) est exclusif : jamais membre d’une organisation cliente, il travaille dans une console séparée, et chacune de ses actions est journalisée.
Réseau
Les appels sortants, y compris l’appel à votre agent, passent par une politique d’egress : hôtes sur liste blanche, plages localhost / privées / métadonnées cloud bloquées, DNS épinglé, redirections revérifiées, délais d’expiration de 30 secondes et limites de taille des corps.
Secrets et preuves
- Les clés des fournisseurs, les secrets des webhooks, les en-têtes d’authentification des agents et les clés IA sont chiffrés au repos par organisation et n’apparaissent jamais dans les journaux, les prompts ni les exports.
- Les clés API sont stockées sous forme de hachages SHA-256 et affichées une seule fois ; renouvelez-les depuis Paramètres.
- Les tables de preuves et d’usage sont en ajout seul pour le rôle de l’application ; la suppression ne passe que par une étape auditée sur la connexion owner (suppression de l’organisation, conservation).
Idempotence et fiabilité
Clé métier + réservation de budget + outbox transactionnelle ; aucune transaction de base de données ouverte pendant un appel réseau ; réconciliation à partir de l’état du fournisseur après les plantages, les délais dépassés et la revue par le fournisseur. Une nouvelle tentative ne double jamais un effet.
Où vos données sont traitées
L’application web, le worker, la base de données et les fournisseurs simulés tournent dans un déploiement unique à Francfort, Allemagne (UE) ; il n’existe aucune copie dans d’autres régions, et les sauvegardes restent avec le déploiement et expirent sous 35 jours. Les données n’en sortent que dans les cas suivants :
- Votre fournisseur (Stripe, Paddle, Chargebee, Shopify) : uniquement les appels que Guard exécute et les lectures qui les vérifient.
- Votre agent : les conversations de test que COLVO envoie à l’endpoint que vous avez enregistré.
- Les fonctionnalités IA que vous activez (contrôle sémantique, juges des guardrails, Test Architect, red team) : le texte nécessaire est envoyé à votre propre clé OpenAI ou Anthropic, ou à withConflux si vous choisissez « Géré par COLVO ». Les verdicts ne nécessitent aucune IA.
- E-mail (Resend) : invitations, alertes, approbations et rapports que vous demandez.
Chaque sous-traitant ultérieur et sa localisation figurent dans la politique de confidentialité ; la liste complète est disponible sur demande.
Signalement
Vulnérabilités : [email protected]. Consultez la page sécurité pour le périmètre et les délais de réponse.