Les réponses, sans détour

Seulement la facturation et le contrat. Une organisation cliente est une entreprise ou un particulier ; le catalogue, les licences et l’espace client sont les mêmes. Une licence est une composition nommée de services, tout service peut figurer sur toute licence, et une organisation peut en tenir plusieurs : une par filiale, une par marque, une par dirigeant protégé.

Parce qu’un prix affiché suppose une offre identique pour tous, et que ce n’est pas la nôtre. Le coût réel dépend du nombre d’identifiants surveillés, des services activés et du niveau d’accompagnement. Afficher un tarif d’appel reviendrait à annoncer un chiffre que presque personne ne paierait. Après le cadrage, vous recevez une proposition écrite et détaillée ligne par ligne.

Non, et c’est une décision de conception. Un pack force à payer des services inutiles pour en obtenir un seul. Chacun des quinze services, les deux analyses croisées comprises (chaînes d’exposition, collaborateurs exposés), a son prix propre, ses frais d’activation et son unité de quota, détaillés ligne par ligne dans la proposition. Une licence est la composition que vous en faites, sous un nom, pour un an : vous activez ce qui correspond à votre exposition, et vous ajustez au renouvellement ou en cours d’année.

La licence est annuelle. La facture est émise par VesperID et réglée par virement ; il n’y a pas de paiement en ligne. La licence est activée à réception du règlement, puis le compte propriétaire est invité. Le renouvellement se discute avant l’échéance, bilan de l’année en main : pas de reconduction tacite silencieuse.

Il n’y a pas d’essai en libre-service, parce que toute surveillance suppose la vérification préalable de votre propriété sur les actifs. En revanche, le cadrage est gratuit et concret : nous vous disons ce que votre périmètre laisse attendre et, le cas échéant, que le service ne se justifie pas dans votre situation.

Des métadonnées : compte concerné, source d’une exposition, dates, type d’empreinte, longueur d’un mot de passe en clair, indicateurs et compteurs, ainsi que votre périmètre déclaré et vos utilisateurs ; pour une mention, un extrait court et masqué de la publication. Nous ne conservons jamais la valeur d’un mot de passe, l’empreinte fournie par la source, la valeur d’un cookie de session ni un numéro de carte complet. Ce choix limite ce qu’une compromission de notre plateforme pourrait exposer.

VesperID, société française de cybersécurité, développe et opère sa propre plateforme. Un espace isolé par organisation, appliqué dans la base de données ; des clés de chiffrement gérées dans un service dédié, distinct de la base ; des sauvegardes chiffrées avant dépôt. Nos sous-traitants d’infrastructure et de service sont nommés dans notre politique de confidentialité, avec le cadre juridique de chaque transfert ; notre fournisseur de collecte, établi au Canada, y est désigné par sa fonction.

Non. Vos données servent à vous rendre le service, à des fins de facturation et de sécurité de la plateforme, et à rien d’autre. Nous ne constituons pas de base commerciale à partir de vos détections, nous ne publions aucune statistique tirée de nos clients, et nous ne citons jamais le nom d’un client, y compris de manière anonymisée mais reconnaissable.

Depuis votre espace personnel pour l’export et l’effacement de votre compte, ou par écrit à dpo@vesperid.com. Une demande d’effacement est validée par un administrateur distinct du demandeur, puis exécutée : les données utilisateur sont pseudonymisées, tandis que les factures et le journal d’audit sont conservés au titre des obligations légales.

Rien. Pas d’agent, pas de sonde, pas de connecteur vers votre annuaire, pas d’accès à vos journaux. La surveillance est entièrement externe. Si vous souhaitez recevoir les alertes dans vos outils, un canal sortant suffit : e-mail, Slack, Teams ou webhook.

La surveillance démarre actif par actif, dès la première vérification réussie. En pratique, un premier domaine peut être vérifié en quelques minutes une fois l’enregistrement DNS publié, et l’historique disponible sur cet actif remonte immédiatement. Compléter tout un périmètre (adresses, personnes, mots-clés, canaux d’alerte) prend généralement quelques jours, à votre rythme.

En publiant un enregistrement DNS de type TXT contenant un jeton qui vous est propre. La vérification est ensuite automatique. Cette étape n’est pas une formalité : elle garantit que personne ne peut faire surveiller un domaine qui ne lui appartient pas, y compris chez un concurrent.

Une personne n’est suivie nominativement qu’après avoir accepté elle-même l’invitation ; l’organisation ne surveille sans cette acceptation que les comptes professionnels qu’elle contrôle, après en avoir informé ses collaborateurs. Le suivi d’une personne (adresses privées, comptes personnels, appareils personnels) passe par un profil de protection distinct, doté de son propre contrôle d’accès : la personne protégée est la seule à voir ses données, décide qui d’autre peut les voir et met fin au suivi quand elle le veut, même quand l’entreprise paie.

Sur ordinateur (Windows, macOS, Linux) et sur mobile (iPhone, iPad, Android). L’espace client s’installe depuis le navigateur, en un geste, sans passer par une boutique d’applications, et se met à jour automatiquement. Le compte, les droits et la sécurité sont les mêmes sur chaque appareil : double authentification, verrouillage par code de session, journal d’audit.

Le score d’exposition, de 0 à 100, se recalcule à chaque synchronisation à partir des findings ouverts, de leur gravité, de leur fraîcheur et de la criticité des actifs touchés ; ses facteurs restent lisibles et sa courbe couvre 90 jours. Les priorités classent les findings par gravité, fraîcheur, criticité de l’actif et délai de traitement cible, de 4 heures à 90 jours par défaut selon la gravité, réglable ; nos engagements contractuels figurent dans les conditions générales.

Oui, c’est le rôle du service Chaînes d’exposition. Un graphe relie appareils, identifiants, sessions, domaines sosies, hôtes exposés, dirigeants, fournisseurs et sources de fuite ; chaque chaîne indique une origine probable avec sa confiance (poste infecté, fuite tierce, réutilisation de mot de passe, campagne de phishing, compromission d’un fournisseur, service exposé), ses impacts possibles et le playbook recommandé. Les chaînes sont recalculées toutes les quinze minutes.

Oui, c’est le service Collaborateurs exposés, un outil de sécurité et rien d’autre. Chaque compte de vos domaines est agrégé (fuites, mots de passe utilisables, journaux de voleurs, sessions vivantes, données personnelles exposées, réutilisation suspectée), reçoit un rôle probable déduit de votre périmètre, un score d’exposition et une seule action recommandée, puis rejoint une cohorte : sensibilisation recommandée, poste à réinstaller, accès à durcir, à surveiller ou sans exposition. La liste des comptes exposés et de l’action recommandée s’exporte pour l’équipe sécurité, afin d’organiser réinitialisations, réinstallations et sensibilisation ; les actions menées (sensibilisé, poste réinstallé, accès durci, sessions révoquées) font baisser le score. Nos données ne prouvent pas l’activation du MFA : « accès à durcir » signale un mot de passe utilisable sur une cible sensible sans preuve de second facteur.

Cela dépend de votre exposition réelle, et nous refusons d’annoncer une moyenne rassurante. Ce que nous maîtrisons, ce sont les réglages : gravité minimale par canal et par destinataire, plages horaires, regroupement des cas non critiques en synthèse. Les premières semaines servent à caler ces seuils. Une semaine sans alerte est un résultat, pas une panne.

E-mail, Slack, Teams ou webhook sortant vers votre propre système. Chaque canal a ses destinataires et son seuil de gravité : votre équipe d’astreinte peut ne recevoir que les cas critiques pendant que la synthèse quotidienne part vers une liste plus large.

Il est envoyé automatiquement selon vos règles, avec sa gravité et l’action attendue. Vous décidez si les plages horaires silencieuses s’appliquent aux cas critiques : certaines organisations veulent être réveillées pour un secret exposé, d’autres préfèrent traiter au matin. Le réglage est le vôtre, pas le nôtre ; un analyste qualifie le cas à votre demande.

Nous apportons le point de vue externe, ce qui a fuité, depuis quand, ce qui circule, quels accès sont concernés, sous forme de note d’investigation si nécessaire. Nous n’intervenons pas sur vos systèmes et ne remplaçons pas une équipe de réponse à incident ; nous travaillons couramment aux côtés de celle que vous mandatez.

L’authentification à double facteur est obligatoire pour notre personnel et pour les propriétaires et responsables d’organisation ; elle est disponible pour tous les membres et peut être imposée à tous par l’organisation. S’y ajoutent la gestion des sessions avec révocation, des rôles et périmètres par utilisateur, le verrouillage de l’application sur mobile, et un journal d’audit des actions sensibles (révélation, export, changements de statut et de rôle). Les administrateurs de votre organisation peuvent révoquer une session ou désactiver un compte immédiatement.

L’isolation est appliquée dans la base de données elle-même, au niveau de chaque enregistrement, en plus des filtres appliqués par l’application. Le compte technique qui exécute les requêtes ne peut pas contourner ces règles. Des tests automatisés vérifient à chaque intégration qu’aucune table contenant des données client n’échappe à ce dispositif.

Elle n’est jamais automatique. L’élément est récupéré à la demande, affiché masqué par défaut, réservé aux rôles habilités et aux comptes de votre périmètre vérifié, conditionné à une ré-authentification récente, associé à un motif saisi par l’utilisateur, journalisé et soumis à un quota de vingt révélations par personne et par jour. Rien n’est mis en cache, et la valeur d’un cookie d’un service tiers n’est jamais révélée.

Écrivez à security@vesperid.com ; l’adresse et les modalités figurent également dans notre fichier security.txt. Nous accusons réception, tenons le rapporteur informé du traitement et ne poursuivons pas les recherches menées de bonne foi, sans dégradation de service ni accès à des données de clients. Un signalement de bonne foi peut aussi être adressé à l’ANSSI, dans le cadre de l’article L2321-4 du code de la défense.