Comment nous gérons votre code

Herozion est un scanner de sécurité local-first. L'analyse s'exécute sur votre machine, votre dépôt complet n'est jamais envoyé. Des connexions réseau limitées et documentées (télémétrie anonyme, OSV.dev, auth, push opt-in) sont décrites ci-dessous.

Connexions réseau documentées

Toute connexion sortante est listée ci-dessous. Vous contrôlez ce qui part via les flags et variables d'environnement.

Ce qui circule sur le réseau (et pourquoi)

Architecture CLI, sans cloud

Herozion est un binaire compilé autonome (self-contained binary). Il ne nécessite aucun runtime, aucun service cloud, aucune dépendance externe pour analyser votre code.

Chiffrement des rapports et du cache

Les fichiers sensibles stockés par Herozion sur votre machine utilisent un chiffrement fort.

• Cache de licence chiffré, Le cache de licence est chiffré avec une clé dérivée de votre machine (identifiant système unique). Il ne peut pas être réutilisé sur une autre machine.
• Rapports en clair par défaut, Le fichier herozion-report.json est en JSON lisible par défaut pour faciliter l'intégration CI/CD. Utilisez --encrypt-output pour chiffrer le rapport avec votre propre clé.
• Aucune donnée persistée par Herozion, En dehors du cache de licence et du rapport, Herozion ne crée aucun fichier persistant sur votre machine.

Suppression automatique des données

Herozion applique une politique de rétention minimale sur les données qu'il stocke, aussi bien côté serveur que côté client.

Télémétrie & Statistiques d'utilisation

Après chaque herozion scan, Herozion envoie par défaut des statistiques anonymes (score, compteurs, durée, version CLI, OS) pour améliorer le produit, jamais vos chemins de fichiers ni votre code source.

Désactivation et périmètre

Vous gardez le contrôle :

• Opt-out à tout moment via HEROZION_TELEMETRY=0 (variable d'environnement).
• Distinct de herozion push, le dashboard cloud reste opt-in et peut inclure chemins + extraits de lignes.
• Les requêtes OSV.dev (CVE de dépendances) sont séparées, noms et versions de packages uniquement, désactivées avec --offline.
• Si connecté (herozion login), l'API Herozion peut être contactée pour OTP, session /auth/me et validation de licence.

Format des rapports d'analyse

Le rapport produit par Herozion est un fichier JSON structuré, stocké localement. Il contient exclusivement des résultats d'analyse, jamais le code source lui-même.

Nos engagements

Ces engagements sont des garanties techniques et contractuelles, pas de simples déclarations d'intention.

• Votre code ne nous appartient pas. Herozion n'a aucun droit sur le code que vous analysez. Aucune licence implicite n'est accordée.
• Jamais le dépôt complet. Notre infrastructure ne reçoit ni ne stocke l'intégralité de vos sources. Le push opt-in peut inclure chemins et extraits de lignes autour des findings.
• Transparence sur les changements. Tout changement dans notre collecte de données sera annoncé dans le changelog 30 jours avant son entrée en vigueur.
• Audit accessible. Vous pouvez auditer le comportement réseau du binaire à tout moment. Nous encourageons la surveillance par la communauté.
• Suppression sur demande. Toutes les données de votre compte (e-mail, inscriptions) sont supprimées sur simple demande à [email protected] dans un délai de 30 jours.
• Pas de revente. Vos données ne sont jamais vendues, louées ou partagées à des fins commerciales avec des tiers.

Questions fréquentes des CTO & équipes sécurité

Les questions que les responsables techniques posent avant d'intégrer un outil de sécurité dans leur pipeline. Réponses directes, sans marketing.