Hidden Tokens : signaler une vulnérabilité
Mise à jour : 9 novembre 2026 · éditeur : Tardigrade SARL · contact : info@hiddentokens.com
Vous avez trouvé un problème de sécurité dans Hidden Tokens : dites-le-nous en privé, nous le corrigerons avec vous. Données fictives seulement : ne nous envoyez jamais de données personnelles réelles.
Comment signaler
Écrivez à info@hiddentokens.com, avec SECURITY au début de l'objet. Indiquez le composant et sa version, les étapes pour reproduire et l'effet constaté. En français ou en anglais. Le contact normalisé est dans /.well-known/security.txt.
Ce qui est concerné
Le connecteur pour Claude, l'appli de bureau et son service local, l'extension de navigateur, la console d'administration, le plugin Claude Code, le complément Excel et ce site.
En plus des défauts habituels, nous traitons comme une vulnérabilité :
| Constat | Pourquoi c'est grave |
|---|---|
| Une valeur réelle atteint l'IA ou un résultat d'outil | La première règle du produit : l'IA ne voit que des copies codées |
| L'IA peut lire la clé ou un fichier décodé | La clé reste sur le poste, hors de portée de l'IA |
| Une requête réseau non déclarée | Le logiciel n'en fait aucune par défaut : voir la fiche DSI |
| Une vérification de signature contournable | La politique, le registre, la licence, le sceau et les mises à jour en dépendent |
Ce que vous pouvez attendre de nous
| Étape | Notre engagement |
|---|---|
| Accusé de réception | Sous 3 jours ouvrés |
| Suivi | Nous vous disons ce que nous avons reproduit, la gravité retenue et la date prévue du correctif |
| Correctif | Gratuit, livré par la mise à jour ordinaire, avec une note de version |
| Divulgation | À une date convenue avec vous, 90 jours au plus par défaut ; remerciement dans la note de version si vous le souhaitez |
Nous n'engageons aucune poursuite contre une recherche de bonne foi menée sur vos propres postes avec des données fictives. Il n'y a pas de prime à ce stade.
Ce que nous ne détenons pas
Nous n'exploitons aucun serveur pour nos clients et ne recevons ni leurs fichiers, ni leurs clés, ni leurs journaux. Un signalement n'exige donc jamais d'accéder aux données d'autrui : ne le tentez pas.
Où nous en sommes
Hidden Tokens n'a aucune certification de sécurité et aucun audit indépendant n'est publié à ce jour. Cette page le dira tant que ce sera vrai.