Cette page décrit les flux web et CI observés dans le produit au 31 mars 2026, avec les tiers eventuels et les durees de retention techniquement verifiables dans le code.
CoreDevPro a été conçu selon un principe de minimisation des données et de non-persistance du code source.
Le moteur principal d’analyse s’exécute sur l’infrastructure CoreDevPro. Certains modules ciblés peuvent toutefois contacter des services externes avec des données limitées et documentées.
L’objectif est de garantir un traitement contrôlé, isolé et limité au strict nécessaire.
Le service est hébergé sur une infrastructure administrée en interne, localisée en Allemagne.
Les environnements de production sont configurés pour :
Les fichiers uploadés ne sont pas archivés dans le flux standard. Des TTL techniques bornés subsistent pour la restitution des rapports, la file d’attente, les logs et certains caches applicatifs.
Le flux applicatif standard :
Les rapports persistés sont automatiquement expurgés de tout extrait source.
Les journaux techniques incluent uniquement :
Le contenu du code source n’est pas journalisé.
Rotation des logs : 7 jours. Logs CI anonymisés conservés jusqu’à 90 jours.
CoreDevPro peut proposer une fonctionnalité facultative de synthèse avancée.
Cette fonctionnalité :
Le tableau ci-dessous couvre les flux externes observes dans le code. Le scan principal du code source n’est pas délégué a ces services.
| Service / destination | Donnees transmises | Finalite | Declenchement |
|---|---|---|---|
| Eve / Google Vertex-Gemini | Version expurgee du rapport CoreDevPro et metadonnees techniques limitees, jamais le code source brut | Synthese post-analyse optionnelle | Uniquement si l’utilisateur lance Eve sur un rapport et confirme son consentement |
| OSV API | Noms et versions de dependances ou contenu SBOM, sans envoi direct du code source | Recherche de vulnerabilites connues sur les dependances | Lors des controles de dependances du module securite |
| Stripe | Donnees de paiement et de souscription necessaires a la facturation | Paiements, abonnements et webhooks de facturation | Uniquement lors des achats, renouvellements et mises a jour de facturation |
| SMTP / fournisseur e-mail | Adresse e-mail et contenu operationnel des messages (reset, licence, support) | Envoi d’e-mails transactionnels | Uniquement pour les flux compte, licence et support |
| Fournisseur SCM (selon le flux configure) | URL de depot et eventuel jeton de lecture seule | Clonage CI/SCM en lecture seule | Uniquement en mode SCM ou CI a la demande |
| Actifs front tiers charges par le navigateur | Requetes navigateur vers polices, bibliotheques ou drapeaux selon la page | Rendu de l’interface publique | Selon la page consultee et les assets actives cote client |
Ces valeurs correspondent aux bornes techniques observees dans le code. Elles peuvent etre plus courtes en pratique lorsque la purge de fin de tache intervient avant le TTL maximal.
| Categorie | Duree ou borne | Notes |
|---|---|---|
| Projet uploadé et repertoire temporaire | Nettoyage en fin de job + balayage de secours jusqu’a 12 h max | Pas d’archivage du code source dans le flux standard |
| Rapports web en attente / restitution | 10 min par defaut | Permet l’affichage ou le telechargement immediat |
| Artefacts finaux de rapport sur disque | Purge courte + balayage de securite jusqu’a 72 h max | Rapports persistés expurges des extraits source |
| File d’attente des scans | 30 min par defaut pour un job en attente | Entrees expirees automatiquement |
| Logs applicatifs | 7 jours | Metadonnees operationnelles, pas de contenu brut du code |
| Journal d’usage CI | Jusqu’a 90 jours avec anonymisation IP | Fichier borne en nombre d’entrees et en taille |
| Session web et jetons de reset | Cookie de session: 14 jours ; reset mot de passe: 1 h | Durees distinctes selon le flux d’authentification |
| Cache OSV (metadonnees dependances) | Cache borne en nombre de cles, sans TTL d’age explicite | Ne contient pas le code source |
| Navigateur utilisateur | Preferences UI selon le navigateur ; pas de persistance locale standard de l’historique Eve ni du rapport envoye a Eve | Peut conserver theme, langue, position du widget ou preferences d’affichage |
Des mécanismes de contrôle et de vérification peuvent être démontrés lors d’un audit technique (ex. validation de l’isolation mémoire, tests de non-persistance).
Une déclinaison on-premise est en cours de planification pour les environnements exigeant un traitement intégralement interne.