VesperID
Évaluer mon exposition

À propos

Une société française de cybersécurité

VesperID a été fondée à Paris en 2024 pour répondre à une question simple : qu’est-ce qui circule sur votre organisation, et que faut-il en faire ? Nous rendons des comptes en droit français.

Demander une évaluation d’exposition Lire notre méthode
Carte d’exposition Données fictives

En une phrase

VesperID est une société française de cybersécurité spécialisée dans la gestion de l’exposition aux menaces (threat exposure management) : elle surveille en continu ce qui circule sur une organisation et ses dirigeants, identifiants compromis, appareils infectés, domaines usurpés, mentions cybercriminelles ; sa plateforme note chaque signal et le livre avec l’action attendue, et ses analystes instruisent les investigations, les retraits et les rapports.

L’origine

VesperID est née d’un constat répété en réponse à incident : dans une majorité de dossiers, l’information qui aurait permis d’éviter la crise existait déjà quelque part, publiée depuis des semaines, mais personne dont c’était le métier ne la regardait.

Le marché proposait alors deux réponses. Des plateformes très complètes, conçues pour des équipes de veille à plein temps, et des services d’alerte automatiques qui envoyaient tout, tout le temps, sans rien qualifier. Entre les deux, les organisations qui n’ont ni trente analystes ni l’envie de trier du bruit n’étaient pas servies.

Nous avons construit VesperID pour cet espace : une plateforme qui absorbe le volume, des analystes qui tranchent les cas difficiles, et une restitution qui tient sur un écran plutôt que dans un tableur. La société est établie à Paris et travaille avec des entreprises françaises et européennes ainsi qu’avec des personnes exposées.

Notre mission

Réduire le délai entre le moment où une information vous concernant devient exploitable par un tiers et le moment où vous en prenez connaissance. Ce délai est le seul paramètre sur lequel une surveillance externe agit réellement, et c’est souvent lui qui décide de l’ampleur d’un incident.

Les faits en bref

Des valeurs, des unités et des dates, vérifiables dans le produit ou dans les textes légaux. Rien d’estimé.

Société
Société française de cybersécurité, fondée à Paris en 2024
Catalogue
15 services en 6 familles
Plateforme
Développée et opérée en propre, isolée par client
Secrets conservés
Aucun : ni mot de passe, ni cookie, ni numéro de carte complet ; métadonnées seulement
Score d’exposition
De 0 à 100, tendance sur 90 jours
Chaînes d’exposition
Recalculées toutes les 15 minutes, 12 nœuds au plus
Playbooks
14, une action attendue par cas
Délais de traitement cibles
De 4 heures à 90 jours selon la gravité, réglables ; les engagements contractuels figurent dans les CGV
Révélation d’un secret
À la demande, journalisée, 20 par personne et par jour
Réponse à une demande
Sous un jour ouvré, hors jours fériés
Tarification
Sur mesure, aucun prix public, licence annuelle
Applications
Bureau (Windows, macOS, Linux) et mobile (iPhone, iPad, Android)

Ce que vous pouvez vérifier

La confiance ne se décrète pas. Voici les faits que tout lecteur peut contrôler, et où les contrôler.

  1. Société française de cybersécurité

    VesperID SAS est une société de droit français, établie à Paris. Ses identifiants et son représentant légal figurent dans nos mentions légales.

  2. Isolation par client

    Un espace isolé par organisation, appliqué dans la base de données ; des clés de chiffrement gérées dans un service dédié, distinct de la base. Aucun compte fournisseur n’est jamais remis à un client.

  3. RGPD et délégué joignable

    Un délégué à la protection des données répond à dpo@vesperid.com. Nos traitements, durées de conservation et transferts sont décrits dans la politique de confidentialité.

  4. Aucun secret conservé

    Nous ne conservons ni la valeur d’un mot de passe, ni celle d’un cookie de session, ni un numéro de carte complet ; des métadonnées seulement. La consultation d’un élément sensible se fait à la demande, après ré-authentification, avec motif et journalisation.

  5. Signalement des vulnérabilités

    Notre fichier security.txt indique comment nous signaler une vulnérabilité et dans quelles langues nous répondons.

  6. Un interlocuteur, pas un formulaire

    Chaque demande reçoit une réponse personnelle d’un analyste sous un jour ouvré, hors jours fériés, depuis une adresse nominative.

  • Société française de cybersécurité

    VesperID SAS est une société de droit français : la plateforme est développée et opérée par ses équipes, le contrat relève du droit français et européen.

  • Isolation par client

    Un espace isolé par organisation, appliqué dans la base de données ; des clés de chiffrement gérées dans un service dédié, distinct de la base. Aucune donnée n’est partagée entre clients.

  • Aucun mot de passe ni cookie conservé

    Métadonnées seulement ; la consultation d’un secret se fait à la demande, et elle est journalisée.

  • Réponse sous un jour ouvré

    Toute demande reçoit une réponse personnelle d’un analyste sous un jour ouvré, hors jours fériés.

Comment ce site est écrit

Les pages de ce site sont écrites et relues par l’équipe VesperID, analystes compris. Chaque chiffre vient d’un rapport public nommé, daté et lié à côté de lui ; nous n’inventons ni statistique, ni étude de cas, ni témoignage, et aucun client n’est cité, même de façon anonymisée mais reconnaissable.

Les exemples et les données des écrans sont fictifs et signalés comme tels. Chaque page indique sa date de dernière révision dans le plan du site ; les guides portent leur date de publication et de mise à jour. Une erreur, une imprécision ? Écrivez-nous : nous corrigeons et nous le disons.

Notre position sur la souveraineté

VesperID est une société française de cybersécurité, de droit français, dont la plateforme est développée et opérée par ses équipes. Un espace isolé par organisation, appliqué dans la base de données ; des clés de chiffrement gérées dans un service dédié, distinct de la base ; des sauvegardes chiffrées avant dépôt.

Nous préférons la précision à la formule. Données stockées et sauvegardées chez Scaleway SAS, à Paris. Le trafic transite par le réseau de Cloudflare, la collecte de renseignement s’appuie sur un fournisseur établi au Canada, la remontée d’erreurs est traitée dans l’Union par un éditeur américain : les instruments de transfert sont décrits dans la politique de confidentialité. Annoncer une chaîne « 100 % française » serait faux, et vous le découvririez au premier audit.

Ce que nous garantissons est plus concret : l’entreprise, la plateforme, les analystes et le contrat relèvent du droit français et européen ; un délégué à la protection des données est joignable directement. Nos sous-traitants d’infrastructure et de service sont nommés dans notre politique de confidentialité. Notre fournisseur de collecte de renseignement n’y est pas nommé, par prudence et par contrat ; sa localisation, son rôle et les garanties de transfert y sont décrits, et le DPO répond à toute question de votre délégué.

Comment nous travaillons avec nos clients

Peu de clients, suivis longtemps, avec un interlocuteur qui connaît le dossier. Ce modèle limite notre croissance ; il est la condition de la qualité que nous promettons.

  1. 01

    Un analyste identifié

    Vous parlez à la personne qui suit votre dossier, pas à un centre de support qui le découvre. C’est elle qui instruit vos investigations et vos retraits, et qui anime la revue périodique.

  2. 02

    Un cadrage honnête

    Si votre exposition ne justifie pas un service, nous vous le disons avant la proposition. Un client qui paie pour du silence finit par partir, et il a raison.

  3. 03

    Aucune dépendance forcée

    Vos détections, vos rapports et votre périmètre s’exportent à tout moment en CSV ou JSON. Un engagement annuel ne doit pas devenir un piège technique.

  4. 04

    Dire ce qui n’a pas marché

    Une demande de retrait refusée, un faux positif envoyé, une détection tardive : cela figure dans le rapport au même titre que les succès. C’est la seule façon de progresser ensemble.

Nos valeurs

  1. 01

    Sobriété

    La peur est un mauvais outil de décision. Nous décrivons ce que nous observons, avec sa date et sa source, sans dramatisation et sans compte à rebours.

  2. 02

    Précision

    Chaque affirmation doit pouvoir être sourcée. Ce que nous ne savons pas est indiqué comme tel, dans nos alertes comme sur ce site.

  3. 03

    Discrétion

    Nous ne citons jamais le nom d’un client, ni une histoire reconnaissable, ni un chiffre tiré de ses données. Une référence commerciale n’est jamais assez utile pour justifier ce risque.

  4. 04

    Utilité

    Une information qui ne permet pas d’agir n’a pas sa place dans une alerte. Elle peut figurer dans une synthèse, un rapport, une conversation, pas dans une notification qui interrompt quelqu’un.

Nos engagements

  1. Aucun secret conservé

    Nous ne conservons jamais la valeur d’un mot de passe, l’empreinte fournie par la source, la valeur d’un cookie de session ni un numéro de carte complet. Nous conservons des métadonnées (compte concerné, source, dates, type d’empreinte, longueur d’un mot de passe en clair, compteurs) et, pour les mentions, un extrait court et masqué de la publication. Ce que nous ne conservons pas ne peut pas fuiter de nos bases ni être revendu ; nous ne répondons aux réquisitions que dans les conditions prévues par la loi.

  2. Vos données ne servent qu’à vous

    Aucune donnée client n’alimente une statistique publique, une base commerciale ou un modèle partagé. Nous ne publions aucun chiffre issu de nos clients, y compris agrégé.

  3. Des transferts documentés

    Nos sous-traitants d’infrastructure et de service sont nommés dans notre politique de confidentialité, avec leur localisation et le cadre juridique applicable. Notre fournisseur de collecte de renseignement n’y est pas nommé, par prudence et par contrat ; sa localisation, son rôle et les garanties de transfert y sont décrits.

  4. Divulgation responsable

    Nous publions une adresse de contact sécurité et un fichier security.txt, nous accusons réception des signalements et nous ne poursuivons pas les recherches menées de bonne foi. Un signalement de bonne foi peut aussi être adressé à l’ANSSI, dans le cadre de l’article L2321-4 du code de la défense.

Nous ne publions pas de trombinoscope. Nos analystes travaillent sur des dossiers sensibles, et leur exposition publique créerait un risque pour eux comme pour nos clients. Vous rencontrerez la personne qui suivra votre dossier dès le premier échange.

Parlons de votre exposition

Un échange d’une heure suffit à savoir si nous sommes utiles. Nous vous le dirons franchement, même quand la réponse est non.

Demander une évaluation d’exposition

Offre sur mesure : un prix par service, aucun prix public, aucun pack.