Sécurité et chiffrement
Notre approche de la sécurité est documentée, vérifiable et transparente.
Couverture MITRE ATT&CK Mobile
Nos fonctionnalités s'appuient sur plusieurs points de contrôle mappés sur le référentiel MITRE ATT&CK Mobile, une base publique qui décrit les techniques d'attaque visant les téléphones.
Modèle de menace
Trasimène cible les menaces documentées du référentiel MITRE ATT&CK Mobile : phishing et quishing, applications malveillantes, interception réseau (MITM), fuites de données et logiciels espions. Le périmètre exact des détections dépend des capacités offertes par chaque plateforme (Android, iOS) : nous documentons ce que l'application peut, et ne peut pas, détecter, sans promettre de protection à 100 %.
Standards respectés
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, RGPD et ISO 25010 guident nos choix. Le serveur et le site sont couverts par des tests automatisés : plus de 1 700 tests pour le site et plus de 300 fichiers de tests pour le serveur en octobre 2026. Notre politique de divulgation responsable est publique (security.txt) : chaque signalement reçoit un accusé de réception et une réponse. Ce que des tiers ont vérifié est rassemblé sur la page Preuves et transparence.
Chiffrement
AES-256-GCM pour le coffre-fort, TLS 1.2 et 1.3 pour les communications entre l'application, le site et nos serveurs, WireGuard pour le VPN. Les clés de chiffrement du coffre sont stockées dans le Secret Manager de Google Cloud, une clé par compte.
Gestion des clés et des secrets
Les clés de chiffrement du coffre-fort (une par compte, créée au hasard) et les secrets d'infrastructure sont stockés dans Google Cloud Secret Manager, chiffrés au repos par Google et répliqués automatiquement pour rester disponibles. Leur accès est restreint par les droits IAM de Google Cloud aux services de Trasimène et aux personnes habilitées, et chaque lecture d'une clé du coffre est journalisée ; aucune clé n'est envoyée au téléphone. Le contenu du coffre-fort est chiffré en AES-256-GCM ; aucune donnée de carte bancaire n'est stockée par nos soins.
Localisation des données
Le site, l'API et les données (comptes, résultats, coffre chiffré) sont hébergés sur Google Cloud, région europe-west1 (Belgique, UE). Les serveurs du VPN sont des machines louées chez Google Cloud dans 19 pays, dont 5 dans l'Union, installées et administrées par Trasimène. Aucune donnée n'est vendue. Les prestataires et les transferts hors UE sont détaillés dans notre politique de confidentialité.
Vie privée
Aucune donnée n'est vendue et l'application n'affiche pas de publicité. Trasimène collecte les données dont le service a besoin. L'application envoie aussi des mesures d'usage à Firebase Analytics et PostHog, que vous pouvez couper dans ses réglages (« Statistiques d'utilisation »), et des rapports d'erreurs à Sentry et Firebase Crashlytics. Si vous l'acceptez en créant votre compte sur Android ou sur trasimene.com, la création du compte et un abonnement sont signalés à Meta, TikTok, Snapchat, LinkedIn et Google Analytics pour mesurer nos campagnes ; sans votre accord, rien n'est envoyé, et rien ne part jamais d'un iPhone. Le détail et la façon de retirer votre accord sont dans notre politique de confidentialité.
Divulgation responsable
Vous avez découvert une vulnérabilité ? Écrivez-nous à contact@trasimene.com. Nos délais de réponse, notre engagement envers les chercheurs de bonne foi et nos remerciements sont publiés sur la page Preuves et transparence, désignée par notre fichier security.txt (/.well-known/security.txt).