Sécurité et données
Ce que LibWatch lit, garde et fait dans vos dépôts.
Vous nous confiez l'accès à vos dépôts. Voici, sans raccourci, ce que LibWatch en fait : ce qu'il lit, ce qu'il garde, les droits qu'il demande et comment les reprendre.
En bref
- Lit
- Vos fichiers de dépendances, via l'API
- Garde
- La liste des paquets et de leurs versions
- Exécute
- Rien. Aucun code du dépôt n'est lancé
- Clone
- Jamais : aucun dépôt n'est copié sur nos serveurs
Le parcours d'une analyse
Quatre moments, dans l'ordre
Ce qui se passe entre le moment où vous connectez un dépôt et l'alerte que vous recevez.
-
1 · Lecture
LibWatch lit vos fichiers de dépendances par l'API
Il demande à GitHub ou GitLab uniquement les manifestes, les lockfiles et les fichiers de version de langage. Aucun code n'est exécuté, rien n'est installé dans votre pipeline.
-
2 · Aucune copie
Votre dépôt n'est jamais cloné
LibWatch ne télécharge que les fichiers listés plus bas, un par un, par l'API. Il ne clone jamais votre dépôt, et un test automatique empêche qu'un clone réapparaisse dans son code.
-
3 · Croisement
L'inventaire est comparé aux bases de failles
OSV (avis GitHub compris), CERT-FR pour PHP, scores EPSS, catalogue KEV de la CISA et calendriers de fin de support. Cette étape ne touche plus à votre dépôt.
-
4 · Veille nocturne
Chaque nuit, l'inventaire est revérifié
Sans relire le dépôt : seule la liste déjà gardée est recomparée aux nouvelles failles.
Fichiers lus
La liste complète de ce que LibWatch demande à l'API. Rien d'autre n'est lu.
-
composer.json -
composer.lock -
package.json -
package-lock.json -
yarn.lock -
pnpm-lock.yaml -
Gemfile -
Gemfile.lock -
*.gemspec -
requirements.txt -
Pipfile -
Pipfile.lock -
pyproject.toml -
poetry.lock -
runtime.txt -
go.mod -
go.sum -
Cargo.toml -
Cargo.lock -
rust-toolchain(.toml) -
pom.xml -
build.gradle(.kts) -
settings.gradle(.kts) -
*.versions.toml -
gradle.lockfile -
gradle.properties -
gradle-wrapper.properties -
buildSrc/*.kt -
*.csproj -
*.fsproj -
*.vbproj -
Directory.Packages.props -
Directory.Build.props -
packages.lock.json -
global.json -
Podfile -
Podfile.lock -
Package.swift -
Package.resolved -
project.pbxproj -
pubspec.yaml -
pubspec.lock -
.nvmrc -
.node-version -
.ruby-version -
.python-version -
.java-version -
.swift-version -
.sdkmanrc -
.tool-versions -
.mise.toml -
.npmrc -
nuget.config
.npmrc et nuget.config ne sont lus que pour repérer vos registres privés, jamais leurs identifiants.
Droits demandés
Les droits que LibWatch demande, et ce qu'il en fait
Certains droits sont plus larges que l'usage. Nous préférons vous le dire plutôt que de vous le cacher.
| Droit | Pourquoi ce droit | Ce que LibWatch en fait |
|---|---|---|
| GitHub · repo | GitHub ne propose pas de lecture seule pour un dépôt privé : ce droit inclut l'écriture. | Lire les fichiers de dépendances et créer le webhook qui relance l'analyse à chaque push. |
| GitLab · api | GitLab ne sépare pas la lecture des webhooks. | Lire les fichiers et créer les webhooks. |
| Jeton GitLab personnel | Créé par LibWatch, valable un an, pour ne pas dépendre du jeton de connexion qui expire. | Les mêmes usages. Révocable dans GitLab › Préférences › Jetons d'accès. |
| WordPress · mot de passe d'application | Seul moyen de lister extensions et thèmes par l'API REST, sans extension à installer. | Lire les versions du cœur, des extensions, des thèmes et de PHP. Créez un utilisateur dédié. |
Hébergement et sous-traitants
Où sont vos données
-
Hébergement
OVHcloud, en France
L'application et sa base de données tournent sur des serveurs OVHcloud situés en France.
-
Paiement
Stripe
Les paiements et la facturation passent par Stripe. LibWatch ne voit jamais votre numéro de carte.
-
Suivi des erreurs
Sentry
Les erreurs techniques de l'application y sont envoyées, sans le contenu de vos dépôts.
Reprendre la main
Révoquer l'accès en une minute
Vous pouvez couper LibWatch à tout moment, depuis vos propres outils.
-
Sur GitHub
Paramètres › Applications › Applications OAuth autorisées › LibWatch › Révoquer.
-
Sur GitLab
Préférences › Applications : révoquer LibWatch. Puis Jetons d'accès : révoquer le jeton LibWatch.
-
Sur WordPress
Profil › Mots de passe d'application : révoquer celui de LibWatch.
-
Dans LibWatch
Supprimer le projet efface son inventaire et ses rapports.
Questions fréquentes