# Ce que LibWatch lit, garde et fait dans vos dépôts.

Source : https://libwatch.com/securite

Sécurité et données

Vous nous confiez l'accès à vos dépôts. Voici, sans raccourci, ce que LibWatch en fait : ce qu'il lit, ce qu'il garde, les droits qu'il demande et comment les reprendre.

## En bref

LitVos fichiers de dépendances, via l'API

GardeLa liste des paquets et de leurs versions

ExécuteRien. Aucun code du dépôt n'est lancé

CloneJamais : aucun dépôt n'est copié sur nos serveurs

Hébergé en France chez OVHcloud

Le parcours d'une analyse

## Quatre moments, dans l'ordre

Ce qui se passe entre le moment où vous connectez un dépôt et l'alerte que vous recevez.

1. 1 · Lecture

2. 2 · Aucune copie

3. 3 · Croisement

4. 4 · Veille nocturne

## Fichiers lus

La liste complète de ce que LibWatch demande à l'API. Rien d'autre n'est lu.

- `composer.json`
- `composer.lock`
- `package.json`
- `package-lock.json`
- `yarn.lock`
- `pnpm-lock.yaml`
- `Gemfile`
- `Gemfile.lock`
- `*.gemspec`
- `requirements.txt`
- `Pipfile`
- `Pipfile.lock`
- `pyproject.toml`
- `poetry.lock`
- `runtime.txt`
- `go.mod`
- `go.sum`
- `Cargo.toml`
- `Cargo.lock`
- `rust-toolchain(.toml)`
- `pom.xml`
- `build.gradle(.kts)`
- `settings.gradle(.kts)`
- `*.versions.toml`
- `gradle.lockfile`
- `gradle.properties`
- `gradle-wrapper.properties`
- `buildSrc/*.kt`
- `*.csproj`
- `*.fsproj`
- `*.vbproj`
- `Directory.Packages.props`
- `Directory.Build.props`
- `packages.lock.json`
- `global.json`
- `Podfile`
- `Podfile.lock`
- `Package.swift`
- `Package.resolved`
- `project.pbxproj`
- `pubspec.yaml`
- `pubspec.lock`
- `.nvmrc`
- `.node-version`
- `.ruby-version`
- `.python-version`
- `.java-version`
- `.swift-version`
- `.sdkmanrc`
- `.tool-versions`
- `.mise.toml`
- `.npmrc`
- `nuget.config`

.npmrc et nuget.config ne sont lus que pour repérer vos registres privés, jamais leurs identifiants.

Droits demandés

## Les droits que LibWatch demande, et ce qu'il en fait

Certains droits sont plus larges que l'usage. Nous préférons vous le dire plutôt que de vous le cacher.

| Droit | Pourquoi ce droit | Ce que LibWatch en fait |
| --- | --- | --- |
| GitHub · repo | GitHub ne propose pas de lecture seule pour un dépôt privé : ce droit inclut l'écriture. | Lire les fichiers de dépendances et créer le webhook qui relance l'analyse à chaque push. |
| GitLab · api | GitLab ne sépare pas la lecture des webhooks. | Lire les fichiers et créer les webhooks. |
| Jeton GitLab personnel | Créé par LibWatch, valable un an, pour ne pas dépendre du jeton de connexion qui expire. | Les mêmes usages. Révocable dans GitLab › Préférences › Jetons d'accès. |
| WordPress · mot de passe d'application | Seul moyen de lister extensions et thèmes par l'API REST, sans extension à installer. | Lire les versions du cœur, des extensions, des thèmes et de PHP. Créez un utilisateur dédié. |

Hébergement et sous-traitants

## Où sont vos données

-

Hébergement

### OVHcloud, en France

L'application et sa base de données tournent sur des serveurs OVHcloud situés en France.

-

Paiement

### Stripe

Les paiements et la facturation passent par Stripe. LibWatch ne voit jamais votre numéro de carte.

-

Suivi des erreurs

### Sentry

Les erreurs techniques de l'application y sont envoyées, sans le contenu de vos dépôts.

Reprendre la main

## Révoquer l'accès en une minute

Vous pouvez couper LibWatch à tout moment, depuis vos propres outils.

1.

### Sur GitHub

Paramètres › Applications › Applications OAuth autorisées › LibWatch › Révoquer.

2.

### Sur GitLab

Préférences › Applications : révoquer LibWatch. Puis Jetons d'accès : révoquer le jeton LibWatch.

3.

### Sur WordPress

Profil › Mots de passe d'application : révoquer celui de LibWatch.

4.

### Dans LibWatch

Supprimer le projet efface son inventaire et ses rapports.

Questions fréquentes

## Ce que demandent les RSSI

[Besoin d'un document pour votre RSSI ? Écrivez-nous →](mailto:bonjour@isee-u.fr)

### LibWatch copie-t-il mon dépôt ?

 Non. LibWatch ne clone jamais un dépôt : il lit uniquement vos fichiers de dépendances, un par un, par l'API de GitHub ou GitLab.

### Mes données quittent-elles la France ?

 L'application et sa base de données sont hébergées en France, chez OVHcloud. Les paiements passent par Stripe. La liste complète des sous-traitants et de leurs pays est sur la page [Sous-traitants](/sous-traitants).

### LibWatch peut-il pousser du code sans mon accord ?

 Non. LibWatch lit vos fichiers de dépendances et ne pousse aucun commit dans vos dépôts. Il y ajoute seulement le webhook qui relance l'analyse à chaque push.

### Où trouver la liste complète des sous-traitants ?

 Sur la page [Sous-traitants](/sous-traitants), avec ce que chacun traite et où.