Arpe.ioSécurité

La sécurité chez Arpe.io

FastBCP, FastTransfer, MigratorXpress, LakeXpress et nos drivers ADBC sont des logiciels que vous exécutez dans votre propre infrastructure : sur site, dans votre tenant cloud ou en environnement totalement isolé (air-gapped). Cette page explique comment nous les construisons, ce que nous publions pour chaque release et comment signaler une vulnérabilité.

Rapports de vulnérabilitésSignaler une vulnérabilité

Vos données restent dans votre infrastructure

Nos produits sont des exécutables auto-hébergés. Aucun service opéré par Arpe.io ne se trouve sur le chemin des données : vous les installez, vous les exécutez, vous les contrôlez.

Exécutables auto-hébergés

Les outils s'exécutent sur vos propres serveurs et transfèrent les données directement entre vos sources et vos cibles. Chaînes de connexion et identifiants restent dans votre configuration.

Compatible air-gapped

Aucun accès Internet n'est nécessaire à l'exécution : la licence est un fichier signé vérifié localement.

Aucune télémétrie éditeur

Les produits n'envoient aucune donnée d'usage à Arpe.io. Les logs et traces OpenTelemetry, si vous les activez, ne vont que vers les destinations que vous configurez.

Prêt pour le post-quantique

La cryptographie que nous maîtrisons (signature des licences, connexions chiffrées) est prête pour les algorithmes post-quantiques du NIST (ML-KEM, ML-DSA) : les produits peuvent passer à une cryptographie résistante aux ordinateurs quantiques sans changer votre déploiement.

Comment nous construisons nos logiciels

  • Code source sous gestion de versions ; les releases sont construites à partir de commits tagués d'une branche de release dédiée.
  • Analyse statique du code (SonarAnalyzer pour C#) intégrée au build.
  • Chaque release, y compris les plus anciennes, est analysée avec Trivy à la recherche de vulnérabilités connues dans ses dépendances tierces.
  • Une nomenclature logicielle (SBOM, CycloneDX) est publiée pour chaque release.
  • Chaque vulnérabilité trouvée fait l'objet d'une analyse d'exploitabilité dans nos produits, publiée au format VEX (OpenVEX).
  • Les releases publiées sont réanalysées chaque semaine avec les dernières données de vulnérabilités.

Rapports de vulnérabilités par produit

FastBCP

Outil de copie en masse haute performance pour exporter les données SQL Server, PostgreSQL, MySQL et Oracle vers CSV, Parquet, JSON et le stockage cloud.

Dernière release v1.6.2 (2026-11-02)
Aucune vulnérabilité ouverte
Voir les 39 releases
DocumentationVEX

FastTransfer

Outil en ligne de commande pour le transfert de données efficace et haute performance entre systèmes de bases de données.

Dernière release v0.18.2 (2026-10-30)
Aucune vulnérabilité ouverte
Voir les 9 releases
DocumentationVEX

MigratorXpress

Outil efficace de migration de bases de données.

Dernière release v0.8.0 (2026-10-26)
4 Haute2 Moyenne1 Faible
Voir les 22 releases
DocumentationVEX

LakeXpress

Export haute performance des bases relationnelles (PostgreSQL, SQL Server, Oracle, MySQL, MariaDB, SAP HANA) vers Parquet, avec publication optionnelle vers les plateformes de données cloud.

Dernière release v0.6.2 (2026-10-29)
Aucune vulnérabilité ouverte
Voir les 34 releases
DocumentationVEX

Méthodologie

  • Les dépendances (directes et transitives) sont résolues depuis le code source de chaque tag de release et analysées avec Trivy.
  • Les résultats reflètent la base de vulnérabilités au moment de l'analyse : une ancienne release peut faire apparaître des vulnérabilités découvertes après sa publication. Les releases sont réanalysées chaque semaine.
  • Les SBOM sont publiés au format CycloneDX, les analyses au format OpenVEX.
  • Une vulnérabilité jugée non affectée (le code vulnérable n'est pas atteignable dans notre produit) est listée mais pas comptée comme ouverte.

Signaler une vulnérabilité

Si vous pensez avoir trouvé une vulnérabilité dans l'un de nos produits, merci de nous la signaler de manière confidentielle à security@arpe.io. N'ouvrez pas de ticket public.

Lire notre politique de divulgation

Ressources

Politique de divulgationComment signaler une vulnérabilité et comment nous la traitons.security.txtContact sécurité lisible par les machines (RFC 9116).OpenVEXFormat de nos analyses d'exploitabilité.CycloneDXFormat de nos nomenclatures logicielles (SBOM).

Questions fréquentes

Oui. Aucun accès Internet n'est nécessaire à l'exécution et la licence est un fichier signé vérifié hors ligne.
Non. Le support d'OpenTelemetry sert à votre propre observabilité : traces et métriques ne vont que vers les points de collecte que vous configurez.
Non. Les produits s'exécutent dans votre infrastructure et transfèrent les données directement entre vos systèmes ; rien ne transite par Arpe.io.
Sur la page du produit : chaque release dispose d'un SBOM CycloneDX téléchargeable.
Consultez la page de la release : chaque vulnérabilité est accompagnée de notre analyse. Non affecté signifie que le code vulnérable n'est pas atteignable dans notre produit ; affecté est accompagné de l'action recommandée, généralement une mise à jour.
Les rapports sont actualisés avec la base de vulnérabilités actuelle : ils reflètent ce qui est connu aujourd'hui, pas au moment de la release.
Écrivez à security@arpe.io. La politique de divulgation précise quoi inclure et à quoi vous attendre.