1. Ce que Hackaiz analyse
- Les dépôts publics et privés explicitement autorisés via GitHub App ; aucun lien GitHub libre.
- Les sites et API après preuve DNS ou fichier HTTPS, puis déclaration d’autorisation sur le domaine exact.
- La preuve technique de contrôle ne remplace pas un mandat juridique ; une analyse de site ne voit pas votre code.
- Les bases connectées sont auditées en lecture seule sur leur structure et leurs règles, pas leurs données métier.
- Une application mobile (.apk ou .ipa) est ouverte sur votre appareil et n'est envoyée nulle part.
2. Ce que Hackaiz ne fait jamais
- Aucun test destructif : pas de suppression, pas de modification de données, pas de saturation volontaire.
- Aucun test de base de données en direct sans l'accord explicite du propriétaire, et toujours en lecture seule.
- Aucune correction directe sur un site ou une base client. Les PR GitHub sont proposées pour examen ; Hackaiz ne les fusionne jamais et ne modifie pas la branche principale.
- Aucun constat inventé pour pousser à l'achat.
- La surveillance nécessite votre accord et des droits encore valides ; retirer la preuve ou l’accès bloque les nouvelles analyses.
3. Comment un constat est prouvé
Chaque constat affiche sa preuve brute (code, URL, en-tête, identifiant de règle) et un niveau de confiance. Une alerte grave mal prouvée est affichée moins haut et ne déclenche pas d'e-mail d'alerte. Un contrôle automatique challenge les constats faibles (commentaire, code de démonstration, code jamais utilisé) et baisse leur confiance sans les cacher.
4. Limites honnêtes
- Hackaiz complète un test d'intrusion humain ; il ne le remplace pas.
- Quand un accès manque ou qu'une analyse s'arrête, le rapport le dit et indique ce qui n'a pas été vérifié.
- Les explications d'IA sont relues par des règles, une compilation ou des tests ; elles ne sont jamais une garantie.
- Une lecture « Sécurité des paiements » est indicative, pas un rapport réglementaire officiel.
5. Traçabilité
Les actions et autorisations sont inscrites dans un journal dont les entrées sont liées par empreinte. Ce chaînage aide à détecter des altérations mais ne constitue pas un ancrage indépendant ni une garantie d’inaltérabilité. La politique de conservation et l’ancrage externe restent à valider.
6. Vos données
- Les secrets détectés sont masqués dans l'interface et les rapports.
- Les données sont séparées par compte.
- Vous pouvez révoquer GitHub ou Google à tout moment et demander l'export ou la suppression de vos données.
7. Engagements vérifiables
Notre approche repose sur des preuves consultables, des analyses autorisées et des actions traçables. Les engagements décrits ici concernent le fonctionnement de Hackaiz ; ils ne constituent pas une attestation de conformité. Toute certification ou attestation publiée sera accompagnée de son périmètre, de l'organisme émetteur et de sa période de validité.
8. Mesure de la qualité
Chaque règle passe par un banc à vérité connue : des failles réelles confirmées à la main doivent être trouvées, et leurs variantes sûres doivent rester silencieuses. Une nouvelle règle reste « candidate » tant qu'elle n'a pas au moins 5 cas réels, au plus 10 % de faux positifs et au moins 70 % de détection. Les taux par famille seront publiés ici dès que chaque famille atteint ce seuil.
Une preuve scellée peut être vérifiée par un auditeur sur la page « Vérifier une preuve ».
9. Signaler une faille
Vous avez trouvé un problème de sécurité dans Hackaiz ? Écrivez à contact@hackaiz.com avec les détails. Merci de ne pas le rendre public avant notre réponse.