Busymate AI
Essayer la démo

Confiance

La sécurité, intégrée au produit

Voici ce que vous pouvez constater dès aujourd’hui, en mots simples, avec la norme exacte en face de chaque promesse. Aucun badge de conformité n’apparaît ici tant qu’un audit n’existe pas.

Parlons-enGuide développeur

Les mêmes règles pour chaque espace de travail

La confirmation de connexion expire après
120 s
La confirmation d’action expire après
300 s
Méthode PKCE
S256
Niveaux d’accès
3, plus une étape de confirmation
1Hôte2Cloisonnement3Poignée de main4Connexion5Niveau d’accès6Étape de confirmation7Clés en écriture seuleHôte inconnu403

01Contrôle

Vos données restent les vôtres

Les données de chaque entreprise sont séparées de toutes les autres — au niveau de la base de données elle-même.

  • Chaque conversation, version publiée et permission appartient à un seul espace de travail, et c’est la base de données qui l’impose (sécurité au niveau des lignes), pas seulement l’application.
  • Une adresse web qui n’est associée à aucun espace de travail ne voit les données de personne ; ses chemins connectés répondent par un 403.
  • Si le système ne peut pas déterminer à quel espace de travail une requête appartient, il la refuse plutôt que de deviner.

02Contrôle

Les normes que nous utilisons

Rien de maison : les normes sont nommées précisément, et cette page les lit directement à la source.

  • Vos systèmes sont connectés en HTTPS via MCP (JSON-RPC 2.0), et le schéma de chaque action est visible dès la découverte.
  • Les outils d’IA se connectent à la plateforme en OAuth 2.1 avec PKCE (S256), enregistrement dynamique des clients et jetons de rafraîchissement.
  • La réponse de connexion nomme son émetteur, afin qu’un jeton ne puisse pas être confondu entre serveurs (RFC 9207) — annoncé par notre serveur d’autorisation et contrôlé par notre client connecteur.
  • Quand la plateforme se connecte à vos systèmes, elle nomme la ressource exacte qu’elle demande (RFC 8707). Échange de jetons (RFC 8693) uniquement là où c’est configuré.
MCP · JSON-RPC 2.0OAuth 2.1PKCE S256RFC 9207RFC 8707
/.well-known/oauth-authorization-server/mcpjson
{
  "issuer": "https://busymate.ai/mcp",
  "authorization_endpoint": "https://busymate.ai/mcp/authorize",
  "token_endpoint": "https://busymate.ai/mcp/token",
  "registration_endpoint": "https://busymate.ai/mcp/register",
  "grant_types_supported": [
    "authorization_code",
    "refresh_token"
  ],
  "code_challenge_methods_supported": [
    "S256"
  ],
  "token_endpoint_auth_methods_supported": [
    "none"
  ],
  "authorization_response_iss_parameter_supported": true
}

Lu dans les métadonnées du serveur d’autorisation au moment où cette page s’affiche — jamais saisi à la main.

03Contrôle

Qui est le client

Votre connexion se porte garante du client.

  • Votre site signe une confirmation de courte durée avec votre propre clé (ES256 est l’algorithme de référence ; les algorithmes autorisés font partie de votre enregistrement).
  • La confirmation date de 120 secondes au maximum, ne peut servir qu’une fois (nonce et jti à usage unique), et nomme l’audience busymate-ai ainsi que votre espace de travail.
  • Rien de ce que le navigateur déclare sur son identité n’est accepté ; l’assistant n’agit que pour l’identité inscrite dans la confirmation signée.
Reconnaître les clients connectés

04Contrôle

Ce qu’il a le droit de faire

Vous décidez de ce qu’il peut faire, et il demande avant de modifier quoi que ce soit.

  • Chaque action relève de l’un des trois niveaux d’accès : ouverte à tous, réservée aux clients connectés, ou effectuée pour le compte du client.
  • Une modification attend une confirmation côté serveur, pas dans le navigateur : toute action que vous marquez comme à confirmer s’arrête sur une carte de confirmation, tout comme une action que l’assistant ne reconnaît pas.
  • Les panneaux affichés dans le chat ne font qu’afficher des résultats ; ils n’exécutent jamais de modification.
  • Quand il agit pour le compte d’un client, il porte une confirmation signée émise par la plateforme (HS256, 300 s) ou la permission OAuth du client lui-même.
Connecter vos systèmes

05Contrôle

Vos clés et vos données

Nous pouvons utiliser vos clés mais ne les affichons plus jamais — pas même à vous.

  • Les identifiants de vos systèmes sont en écriture seule : vous les définissez, vous les changez, ils ne sont jamais relus.
  • Les permissions sont stockées chiffrées par espace de travail et par connexion ; la permission d’une entreprise n’est jamais réutilisée pour une autre.
  • Avant de nous connecter à une nouvelle adresse, nous vérifions qu’elle ne peut atteindre aucune ressource interne (protection SSRF).
  • Les requêtes vont vers vos propres systèmes — les données vous appartiennent.

06Contrôle

Qui d’autre voit le texte des conversations

Uniquement les fournisseurs d’IA que vous autorisez, et uniquement quand vous le décidez.

  • Les fournisseurs d’IA de votre liste autorisée sont les sous-traitants ; vous les choisissez par espace de travail, et la consommation est affichée par fournisseur.
  • Tout ce qui envoie du texte de conversation ailleurs — un modèle d’IA, une étape de traduction lors d’un transfert — s’active par espace de travail et est signalé au client.

07Contrôle

Signaler une vulnérabilité

Vous avez trouvé quelque chose ? Dites-le-nous avant tout le monde.

  • Le contact et le périmètre en vigueur sont publiés dans notre security.txt.
/.well-known/security.txtDemander à bro

Lisez les règles, puis connectez

Les mêmes règles s’appliquent à chaque espace de travail. Connectez vos systèmes et voyez-les appliquées.

CommencerConnectez vos systèmes
claude mcp add --transport http busymate-ai https://busymate.ai/mcp