Vos clés privées restent chez vous.
La connexion part de votre réseau.
Sentinel interroge Nocert pour obtenir ses tâches et renvoie ses observations en HTTPS. Aucune connexion entrante depuis Nocert vers votre réseau n’est nécessaire.
Nocert, en HTTPSVotre trafic TLS ne passe pas par Nocert.
Nocert n’intervient pas dans votre trafic TLS. Si Nocert est indisponible, vos services continuent à accepter les connexions TLS.
Nocert surveille les certificats. Il ne les émet, ne les renouvelle, ne les déploie et ne les révoque pas.
Vous choisissez ce que la sentinelle analyse.
Après son enregistrement à l’aide d’un jeton, Sentinel signe ses requêtes avec Ed25519 (RFC 9421). Il interroge Nocert pour obtenir les tâches et envoie ses rapports en HTTPS. Les scans réseau, fichiers, ports locaux et Kubernetes se désactivent séparément.
En cas de compromission de Nocert
Une compromission de Nocert pourrait exposer les données de l’espace de travail et déclencher les scans autorisés dans votre configuration. Sentinel ne fournit pas de shell distant.
Accès et isolation
Accès aux comptesDouble authentification et rôles dans l’organisation.
Les mots de passe sont hachés avec Argon2id ; TOTP assure la double authentification. Les rôles propriétaire, opérateur et lecteur contrôlent les accès. Le SSO OIDC et la correspondance des rôles sont disponibles avec Business et Custom.
Protection des donnéesAnalyse isolée, accès par organisation, secrets chiffrés.
Les certificats sont analysés dans des processus nsjail éphémères, avec des limites de ressources et sans accès réseau. Les requêtes de données sont limitées à l’organisation authentifiée. Les identifiants des connecteurs et les secrets de configuration sont chiffrés en AES-256-GCM, avec une clé conservée hors de la base de données.
Quelles données quittent votre réseau ?
Certificats au format DER, empreintes et chaînes observées.
Adresses IP, ports, paramètres TLS, chemins de fichiers et emplacements des objets Kubernetes, selon les modes de scan activés. Les scans de fichiers peuvent aussi signaler des permissions de clés privées trop larges, sans transmettre les clés.
Lors de son enregistrement, l’agent transmet sa clé publique de signature et des métadonnées machine : nom d’hôte, OS, adresse IP et sous-réseaux, notamment. Sa clé privée de signature et ses identifiants Kubernetes restent en local.
Nocert n’est pas certifié ISO 27001 et ne dispose pas de rapport SOC 2.
Examinez l’agent que vous installez.
Le code de Sentinel est public, sous licence Apache 2.0. Vous pouvez le lire, télécharger une version signée et le compiler vous-même.
Où sont hébergées les données
Les données applicatives sont hébergées chez OVHcloud, en France et en Allemagne. D’autres prestataires assurent les scans, la diffusion et les notifications.
- OVHcloudDonnées applicatives
- France et Allemagne
- ScalewayRelais de scan et d’alertes
- UE · Traitement transitoire
- CloudflareProtection et diffusion web
- Réseau mondial · Siège aux États-Unis
Les prestataires de réseau, de paiement et d’e-mail peuvent traiter des données hors EEE dans le cadre du DPA. Les prestataires de paiement ne reçoivent aucune donnée de scan ; les e-mails d’alerte peuvent contenir des informations sur les certificats et les noms d’hôtes.
L’auto-hébergement est disponible avec Custom.
Signaler une vulnérabilité
Vous avez repéré un problème de sécurité ? Utilisez notre page de contact ou les coordonnées publiées dans security.txt.