transparency

Rapport de transparence

Cette page est mise à jour trimestriellement. Elle contient le warrant canary signé mensuellement, les hashes des builds déployés (vérifiables via cosign), l'historique des demandes légales reçues, et l'état des audits externes en cours.

Contact chiffré Audit log vérifiable

Warrant canary

warrant canary · signed

signé 2026-04-26 · prochain 2026-05-26

ed25519 · 0xDEAD…BEEF (placeholder — fingerprint réel publié au go-live)

La signature est produite offline par une clé hybride ECDSA P-384 ∥ Dilithium-3, détenue par le core team. Son absence (date de prochaine signature dépassée sans nouvelle signature) est un signal public — voir notre charte éthique et la procédure complète.

Audits externes en cours

Pentest externe

Commandé

Prestataire : À nommer à la contractualisation

Délai estimé : 4-5 semaines

Cf. docs/operations/procurement-pentest.md

Audit cryptographique

Commandé

Prestataire : À nommer à la contractualisation

Délai estimé : 5-7 semaines

Cf. docs/operations/procurement-crypto-audit.md. Bloque l'ADR-0007 (PQ hybride messaging).

Audit accessibilité

Commandé

Prestataire : À nommer à la contractualisation

Délai estimé : ~3 semaines

Cf. docs/operations/procurement-a11y-audit.md. Cible WCAG 2.2 AA.

Les résumés exécutifs des audits seront publiés dans le transparency report Q3 après livraison. Les détails exploitables restent confidentiels 90 jours après correction (coordinated disclosure).

Builds déployés (SLSA v1.0 niveau 3)

M7 — go-live

to-be-filled

à venir · cosign keyless · github/StudioCavalli/OmbrysWeb

verified

M6 — hardening & audit

77b3953