sécurité
Rien ne quitte la machine que vous n'avez pas configurée.
Le modèle de sécurité tel que le README l'énonce ; puis comment le service hébergé traite ce que vous lui donnez, comment signaler un problème, et où en sont les papiers.
sécurité et déploiement
Quatre couches devant chaque appel d'outil. Rien ne quitte la machine que vous n'avez pas configurée.
Le modèle de sécurité tel que le README l'énonce, limites comprises. Chaque couche dit ce qu'elle décide et où elle s'arrête ; aucune n'est un bac à sable.
couche
décide
limite
couche 01
01rulesRègles à jokers en deny-by-default sur l'outil et l'argv. Un motif interdit est refusé avant que quoi que ce soit ne s'exécute.
limiteDe la correspondance de motifs, pas de l'intention : une écriture inédite d'une commande dangereuse passe à la couche suivante.
couche 02
02execpolicyDes verdicts sur l'argv analysé : allow, prompt, forbidden. Ce qui est interdit n'atteint ni l'exécution ni un humain.
limiteElle lit la commande, pas le shell qui l'exécutera ; un alias ou le corps d'un script lui reste opaque.
couche 03
03approvalUne carte sur les arguments révisés avec autoriser, toujours et refuser. Les réponses sont mises en cache par session ; les sous-agents ne peuvent pas demander.
limiteUne décision humaine : --yolo saute cet échelon, jamais les règles de refus au-dessus.
couche 04
04runtimeUne denylist bash et un verrou sur le cwd à l'exécution ; Échap tue l'appel en cours et, sous Windows, tout son arbre de processus.
limiteDe la délégation, pas de l'isolation. Le travail non fiable a sa place dans un conteneur ou une micro-VM.
déploiement et données
01
Auto-hébergé par construction
S'exécute depuis les sources sur votre machine ou votre CI. Le compte est facultatif : il débloque les formules de la page tarifs et ne verrouille jamais la CLI. Bun ≥ 1.3.14 est la seule exigence.
02
Aucun phone-home
Le trafic sortant ne va qu'au fournisseur que vous avez configuré, aux serveurs MCP que vous avez listés et à web_fetch quand le modèle le demande. Le catalogue de prix est un instantané hors ligne ; il n'y a pas de mise à jour automatique.
03
La télémétrie est opt-in
L'export OpenTelemetry reste éteint tant que ROVECODE_OTEL_ENDPOINT n'est pas défini ; même alors il porte des ids, des tailles et des résultats — jamais de prompts, d'arguments ni de sorties.
04
Journal d'audit par construction
Les sessions sont du JSONL en append-only avec une chaîne de hachage sha256 ; chaque exécution exporte une trace (run ⊃ turn ⊃ tool), y compris annulée.
05
État des plateformes
Windows d'abord : le développement et la porte de release tournent sur Windows 11. Les chemins POSIX sont testés, Linux et macOS ne sont pas encore vérifiés en CI.
06
Licence
AGPL-3.0-only. Modifiez et redistribuez librement ; exploiter une version modifiée comme service réseau vous oblige à en offrir les sources à ces utilisateurs.
divulgation responsable
Vous avez trouvé quelque chose ? Dites-le-nous d'abord.
01
Signalez en privé
Écrivez à l'adresse ci-dessous ce que vous avez trouvé et comment le reproduire. Le courrier chiffré est bienvenu ; un courrier simple convient aussi.
security@rovecode.dev
02
Ce qui se passe ensuite
Un accusé de réception sous deux jours ouvrés, un correctif ou un plan sous trente, et une mention dans les notes de version si vous le souhaitez.
03
Sphère de sécurité
Une recherche de bonne foi dans les règles — aucune donnée emportée, aucun service perturbé, aucun tiers impliqué — ne sera pas suivie d'une action en justice.
vos données
Ce que nous conservons, et pour combien de temps.
01
L'agent
Tourne sur votre machine. Son trafic va vers les fournisseurs de modèles et les serveurs MCP que vous configurez, et nulle part ailleurs.
02
Votre compte
Nom, e-mail, un hachage du mot de passe ou l'identifiant fourni par votre service de connexion, et la formule sur laquelle vous êtes.
03
Télémétrie
Désactivée jusqu'à ce que vous définissiez un point d'accès OpenTelemetry ; même alors elle transporte des identifiants, des tailles et des résultats — jamais de prompts, d'arguments ou de sorties.
04
Conservation
Les données de compte trente jours après sa fermeture ; les données de facturation aussi longtemps que le droit fiscal l'exige ; les journaux d'accès trente jours.
conformité
Où en sont les papiers.
Statuts provisoires, écrits pour la page : les vrais les remplacent avant le lancement.
01
SOC 2 Type II
Contrôles rédigés et collecte des preuves en cours ; le rapport est prévu pour l'an prochain.
02
Test d'intrusion
Un test annuel du service hébergé par un tiers ; la lettre de synthèse est disponible sous NDA.
03
Page d'état
Disponibilité et incidents du service hébergé, publiés au fil de l'eau.
