Flux des données d’évaluation
Une évaluation contrôlée commence par la création, dans la base de données, d’une identité d’exécution (run) et de tentative (attempt). Les artefacts volumineux produits pendant le processus sont destinés à un stockage objet privé, tandis que PostgreSQL conserve l’état, les résultats compacts, les faits de publication, les journaux d’audit et les métadonnées du manifeste des artefacts.
Les requêtes, réponses, traces, journaux, captures d’écran et pièces jointes bruts ne font pas partie des données publiques de l’annuaire. Les pages publiques lisent uniquement des instantanés examinés, expurgés et versionnés.
Identifiants et cibles de test
Les identifiants des relais doivent être représentés par des références de secrets protégées et mis à la disposition des seuls processus serveur ou worker autorisés. Les navigateurs ne reçoivent ni secrets des relais, ni identifiants PostgreSQL, ni identifiants de stockage objet.
Les cibles d’évaluation sont soumises à des restrictions portant sur le protocole, le port, le DNS, les redirections, la taille des réponses, les délais d’expiration et les réseaux privés. Folkbench ne doit pas devenir un proxy réseau arbitraire.
Comptes et sessions
Lorsque cette fonction est activée, la connexion repose sur une session émise par Folkbench une fois que le fournisseur d’identité configuré a terminé son parcours. Les cookies de session sont émis côté serveur et protégés ; les jetons d’accès du fournisseur ne sont pas conservés comme identifiants de l’application. Les rôles d’exploitant et d’administration restent distincts de l’authentification ordinaire.
Statistiques d’utilisation facultatives
Folkbench active par défaut une analyse produit interne et encadrée afin de comprendre l’utilisation des fonctionnalités, de diagnostiquer les problèmes et d’améliorer le service ; elle n’est pas utilisée pour un profilage intersites ou interplateformes. Le schéma des événements exclut le texte des recherches, l’adresse e-mail, les URL complètes, les adresses IP, l’enregistrement des sessions (session replay) et la capture automatique des clics. Si la transmission externe est activée, les mêmes champs peuvent être envoyés à PostHog US Cloud.
Périmètre des prestataires tiers
Folkbench peut faire appel à des services d’hébergement, de PostgreSQL géré et de stockage objet privé, à des fournisseurs d’identité, à des services d’analyse et d’e-mail et — uniquement s’ils sont activés séparément — à des prestataires de paiement. Chaque prestataire ne reçoit que les informations nécessaires à sa fonction et reste soumis à ses propres conditions et responsabilités en matière de sécurité. Les pages publiques chargent également la balise Google Ads AW-18459159949 afin de mesurer les visites et les conversions issues des annonces.
Signaler un problème de sécurité
Passez par la page de contact et indiquez « Folkbench security report » dans l’objet. Décrivez brièvement l’impact et fournissez des étapes de reproduction sans risque. N’envoyez pas par e-mail de mots de passe, de clés API, de preuves privées brutes, de données personnelles ni de charges d’exploitation actives.