Hypervibe Enterprise
Fiche sécurité
Ce que le plugin exécute sur vos postes, ce qu’il envoie, ce qu’il n’envoie jamais. La page à transmettre à votre DSI ou votre RSSI, telle quelle.
Ce qui s’exécute sur le poste
Le plugin est fait de fichiers texte lisibles en entier : des instructions en français (markdown) et des scripts Node.js. Aucun binaire, aucun code chiffré ou obscurci, aucune installation système. Votre équipe sécurité peut ouvrir chaque fichier et lire ce qu’il fait ; c’est un choix, pas une négligence : un outil qui pilote des projets doit être auditable par ceux qui l’accueillent.
Il s’installe dans le dossier des plugins de Claude Code de l’utilisateur, et range ses trois fichiers d’état (clé de licence, identifiant de siège, témoin du dernier signal de vie) dans ~/.hypervibe. Rien ailleurs.
Ce qui sort du poste, et vers où
Le plugin ne parle qu’à hypervibe.fr (hébergé en Union européenne, base de données et stockage en juridiction UE). Quatre appels, tous visibles dans le code :
- À l’activation (commande
/start) : la clé de licence, un identifiant de siège tiré au hasard (jamais une empreinte de la machine), le nom du harnais, sa version, et le nom et l’email déclarés dans la configuration git du poste, pour nommer le siège dans le tableau de bord de votre organisation. - Une fois par jour au plus (signal de vie, au démarrage d’une session) : le jeton du siège, le nom du harnais, la version installée. C’est ce qui permet à votre administrateur de voir quels postes sont à jour.
- À la mise à jour : le jeton du siège, pour recevoir l’exemplaire de votre organisation.
- À l’ouverture d’un projet client, uniquement si votre contrat prévoit le suivi des missions : le nom du client et un budget estimatif, saisis par l’utilisateur.
Le serveur journalise l’adresse IP de ces appels, comme tout serveur web, dans un journal qui sert à la traçabilité des licences.
Ce qui ne sort jamais
Le contenu de vos projets ne quitte pas vos comptes. Le plugin ne transmet à hypervibe.fr ni code source, ni fichiers, ni données de vos bases, ni secrets de votre coffre. Vos projets vivent dans les services de votre organisation (votre GitHub, votre hébergeur, votre base de données), avec vos clés, dans votre coffre chiffré. Hypervibe n’y a aucun accès.
Aucune télémétrie d’usage : pas de mesure de ce que vous tapez, de ce que vous construisez, ni du temps passé.
Intégrité et mises à jour
Chaque version publiée a une empreinte SHA-256, affichée dans le tableau de bord de votre organisation : ce qui est téléchargé se vérifie. Chaque exemplaire livré est filigrané au nom de votre organisation et archivé : vous savez ce que vous avez reçu, nous savons ce que nous avons remis.
Les mises à jour sont gouvernées par votre administrateur : son poste reçoit la nouvelle version pour l’essayer, puis il la déploie à l’équipe (à la demande, ou automatiquement au démarrage de session si votre organisation l’a choisi). Tout remplacement garde une sauvegarde de la version précédente et se restaure seul en cas d’échec.
Ce qui se passe en cas de départ, d’incident, de fin de contrat
Chaque poste a un siège révocable individuellement : le départ d’un collaborateur se règle depuis le tableau de bord, sans changer la clé des autres. Une licence suspendue ou un siège révoqué ne reçoit plus ni version ni mise à jour ; ce qui est déjà installé continue de fonctionner. Le plugin ne contient aucun mécanisme d’arrêt à distance : nous coupons l’approvisionnement, jamais votre travail en cours.