Confier une boîte mail, ce n'est pas rien. Voici ce que Trupeo en fait.

Vérification en deux étapes

Si vous vous connectez avec un mot de passe, vous pouvez activer la vérification en deux étapes dans « Paramètres du compte », onglet « Sécurité » : un code donné par une application d'authentification, avec des codes de secours si vous perdez votre téléphone. Elle est proposée à tout compte qui a un mot de passe, et n'est pas imposée.

Si vous vous connectez avec Google ou Microsoft, Trupeo n'ajoute pas son propre code : la vérification en deux étapes se règle dans ce compte, activez-la de ce côté.

Quand le support Trupeo ouvre votre compte

Personne chez Trupeo ne lit vos messages, sauf si vous nous le demandez ou si la sécurité ou la loi l'exige. Quand un administrateur Trupeo ouvre votre compte, c'est enregistré, et vous voyez chaque ouverture dans « Paramètres du compte », onglet « Sécurité », rubrique « Accès du support Trupeo ». Aucune notification n'est envoyée : c'est cette liste qu'il faut consulter.

Chaque membre ne voit que les ouvertures de son propre compte. Quand le support ouvre le compte d'un autre membre, il accède à la même boîte partagée : un propriétaire de boîte qui veut une vue complète peut demander aux autres membres de consulter aussi leur liste.

Les fichiers stockés

Depuis le 10 juillet 2026, Trupeo chiffre le texte complet de vos messages et leurs pièces jointes avant de les stocker, avec une clé propre à chaque boîte, tirée d'un secret gardé à part dans Azure Key Vault. Copier l'un de ces fichiers depuis le stockage ne suffit pas à le lire : il faut aussi ce secret.

Ce qui se passe ensuite

Nous accusons réception de chaque signalement sous 5 jours ouvrés. ALK Innovations, la société derrière Trupeo, est une petite équipe : cet accusé de réception peut être le seul message que vous recevrez avant que le problème soit réglé. Nous vous dirons quand il sera corrigé, et si nous décidons de ne pas le corriger, nous vous dirons pourquoi.

Sans nouvelles de notre part sous 10 jours ouvrés, considérez que votre email n'est pas arrivé et renvoyez-le. Nous n'avons pas de programme de récompense des failles (bug bounty) pour le moment.

Ce qui entre dans le périmètre

• app.trupeo.com : l'application et son API sous /api/.
• trupeo.com et www.trupeo.com : ce site.
• Les programmes qui synchronisent les boîtes mail, dans la mesure où vous pouvez les atteindre à travers le produit.

Ce qui n'entre pas dans le périmètre

Nous clôturons ces signalements sans correction :

• Les résultats d'un scanner automatique sans impact démontré.
• Des en-têtes de durcissement manquants sur des points d'accès qui ne servent aucun contenu authentifié.
• Un déni de service par le volume, le contournement des limites de débit en multipliant les adresses d'origine, ou tout ce qui demande un accès physique à l'appareil d'un utilisateur.
• L'ingénierie sociale visant l'équipe d'ALK Innovations ou les utilisateurs de Trupeo.
• Les failles d'un service tiers dont Trupeo dépend : signalez-les à ce service, et dites-le-nous aussi si la configuration de Trupeo les rend exploitables.
• Tout ce qui suppose qu'un utilisateur ait déjà installé un logiciel malveillant ou donné son mot de passe.

Règles pour tester la sécurité

Testez sur des comptes qui vous appartiennent. Tout le monde peut créer un compte Trupeo sur app.trupeo.com, avec un essai gratuit de 30 jours sans carte : inutile de toucher aux données de quelqu'un d'autre, et un signalement qui le fait n'est plus de bonne foi ni dans le périmètre.

Ne lancez pas de tests de charge ou de stress, et ne modifiez ni ne supprimez des données que vous n'avez pas créées. Si montrer la faille suppose de lire la boîte d'un autre utilisateur, arrêtez-vous au moment où vous avez montré que c'était possible, et dites-le-nous plutôt.

Nous n'engagerons pas de poursuites contre une recherche qui respecte ces règles et nous est signalée en privé.