Sécurité du logiciel

Le logiciel n’a pas fait l’objet d’un audit de sécurité externe (test d’intrusion par un cabinet). À la place, chaque version passe par :

• l’analyse statique du code (avertissements du compilateur traités comme des erreurs) ;
• l’audit des dépendances : failles connues, licences et provenance de chaque bibliothèque ;
• la recherche de secrets dans tout l’historique du code ;
• des tests d’isolation entre clients : un client, un revendeur ou une clé d’API ne lit ni ne modifie rien hors de son périmètre ;
• des tests sur un vrai FreeSWITCH : appels, parcours, renvois, chiffrement, à chaque modification ;
• une revue de sécurité écrite, refaite à chaque version majeure.

Si votre activité l’exige, vous pouvez faire réaliser un test d’intrusion à vos frais : prévenez l’éditeur, qui vous indiquera le périmètre et répondra aux constats.

Ce qui protège votre instance

• Comptes : mots de passe longs, blocage après 5 échecs, second facteur imposé aux équipes de l’opérateur et des revendeurs, passkeys.
• API : clés révocables, droits limités à leur organisation.
• SIP : bannissement des adresses qui échouent trop souvent à s’authentifier (Diagnostic), SIP en TLS et SRTP proposés.
• Secrets (trunks, serveur d’e-mails, clés) chiffrés dans la base ; aucun n’est renvoyé par l’API.
• Journal d’audit de chaque modification, lisible dans le portail.

Signaler une faille

Écrivez à l’éditeur, à l’adresse de sécurité de votre contrat, avec « Sécurité » dans l’objet. Indiquez la version (version dans /api/v1/sante), ce qui reproduit le problème et son effet. Réponse sous 3 jours ouvrés. Le correctif est publié dans le dépôt apt et vous êtes prévenu directement, avec la version qui corrige : appliquez-le comme une mise à jour.