La sécurité, de série.
Executor trade avec ton wallet, alors chaque couche a été pensée pour le pire des cas. Voici exactement ce qui te protège.
Tes clés restent chez Privy.
Privy crée et protège ton wallet dans un environnement isolé (TEE). Executor ne voit ni ne stocke jamais de clé privée.
Permission, pas possession.
Executor reçoit deux permissions limitées, chacune avec sa propre politique chez Privy : vendre les positions et acheter avec la signature du gardien, toujours via Jupiter et sous le plafond. Elles ne s’appliquent qu’au wallet de trading, séparé de ton wallet principal. Aucun retrait, aucun transfert. Révoque-les dans l’app quand tu veux : il arrête alors d’acheter et de vendre.
L’IA ne trade jamais d’elle-même.
L’IA discute et propose la stratégie. Elle ne peut ni l’activer, ni la mettre en pause, ni acheter, ni vendre : seul ton clic l’active, et c’est le moteur qui trade, avec des règles fixes.
Un serveur rien que pour le moteur.
Le moteur tourne sur un serveur séparé du site, avec un pare-feu, un accès par clé uniquement et une signature sur chaque requête entre les deux. Il vérifie chaque transaction avant de demander la signature.
Historique du chat chiffré sur ton appareil.
AES-256-GCM dans ton navigateur, avec une clé impossible à exporter. Efface l’historique quand tu veux.
Paiements traités par Stripe.
Les données de ta carte vont directement chez Stripe, certifié PCI DSS Level 1. Elles n’atteignent jamais nos serveurs.
Pourquoi un chat IA ne peut-il pas être chiffré de bout en bout ?
Une IA doit lire un message pour y répondre, donc aucun chat IA ne peut être scellé comme une messagerie privée. Voici ce que nous faisons à la place : les messages transitent uniquement en HTTPS, l’historique est chiffré sur ton appareil, les images perdent leur localisation et leurs données photo avant de quitter l’appareil, la voix devient du texte sur l’appareil dès que le navigateur le permet, et la sécurité de ton argent ne dépend jamais de ce que dit le chat.
Sous le capot
- HTTPS partout, avec HSTS
- Content Security Policy avec un nonce par requête
- Empreintes d’intégrité (SRI, SHA-384) sur les scripts principaux
- En-têtes d’isolation cross-origin (COOP et CORP)
- Aucune intégration par d’autres sites (clickjacking bloqué)
- Polices et fichiers servis depuis notre propre domaine
Comment signaler une faille.
Tu as trouvé une faille de sécurité dans Executor ? Dis-le-nous d’abord, en privé, pour qu’on la corrige avant que quelqu’un s’en serve.
- Écris à suporte@executor.fun avec « Sécurité » dans l’objet : ce que tu as trouvé, où, et les étapes pour le reproduire.
- Dans le périmètre : executor.fun, l’app, son API et @ExecutorFunBot. Hors périmètre : les services que nous utilisons sans les gérer, comme Privy, Stripe, Jupiter, pump.fun et Telegram (signale-le-leur), ainsi que les tests de charge ou de déni de service, le spam et l’ingénierie sociale.
- Nous confirmons la réception sous 2 jours ouvrés et te tenons au courant jusqu’à la correction.
- Si tu agis de bonne foi, nous n’engagerons pas de poursuites contre toi : teste uniquement avec ton propre compte et ton propre wallet, n’accède pas aux données ou à l’argent d’autres personnes, ne les modifie pas et ne les supprime pas, ne perturbe pas le service et laisse-nous un délai raisonnable pour corriger avant de rendre la faille publique.
- Pour l’instant, il n’y a pas de programme de récompense.