Me&New

Sécurité & confiance

Dernière revue : mai 2026

Me&New est un produit à empreinte minimale. On collecte ce qu'il faut pour te matcher avec les bonnes personnes, on le garde uniquement le temps de l'event, et tu peux tout effacer avec une seule commande. Cette page explique les contrôles techniques derrière cette promesse.

État de la sécurité de la plateforme

HTTPS partout

TLS 1.2+ imposé. HTTP redirigé vers HTTPS. HSTS avec preload activé.

En-têtes de sécurité

X-Content-Type-Options, X-Frame-Options: DENY, Referrer-Policy, Permissions-Policy sur chaque réponse.

Authentification Mini App

Chaque requête authentifiée du Mini App est vérifiée via la signature HMAC-SHA256 de Telegram. Des tokens de session (TTL de 6 heures) évitent d'exposer répétitivement les initData bruts.

Secret du bot

Tous les appels bot vers API utilisent un en-tête partagé X-Bot-Secret. Le secret n'est jamais exposé côté client.

Accès admin

ADMIN_USER_IDS est fail-closed : liste vide = aucune commande admin, même pour le owner. Révoquer un accès = changement de config + restart.

Intégrité du check-in IRL

Les codes de check-in sont signés HMAC avec un secret par session. Les attaques par rejeu sont bloquées par un flag à usage unique en base.

Rate limiting

Rate limiting par IP sur tous les endpoints publics de l'API. L'endpoint GET /rag/meetup-sessions utilise une auth scindée (bot secret vs 10 req/min par IP) pour empêcher l'énumération des sessions.

Données en transit

Toutes les connexions entre ton appareil et Me&New sont chiffrées via TLS. Telegram chiffre indépendamment tous les messages en transit avec MTProto. Le bot communique avec le backend FastAPI via un réseau Docker privé — le trafic ne quitte jamais le réseau du container en clair.

Données au repos

Toutes les données utilisateur sont stockées dans une base PostgreSQL 16 hébergée sur la même infra privée que l'application. Pas d'analytics tiers, pas de tracking publicitaire, et aucune donnée vendue ou partagée avec des tiers. La liste complète de ce qu'on stocke se trouve dans la Politique de confidentialité.

Ce qu'on ne stocke jamais :

Tes messages Telegram (le bot les lit en mémoire puis les jette)
Ta photo de profil Telegram (proxyée à la volée depuis Telegram, jamais mise en cache chez nous)
Aucune information de paiement, sous aucune forme

Fournisseurs d'inférence IA

Me&New utilise des LLMs pour la classification d'intent, le scoring de match et la traduction inter-langues. La hiérarchie de routage est :

0G Compute — Qwen 2.5-7B sur infra décentralisée. Gratuit, respectueux de la vie privée.
OpenRouter free tier — fallback quand 0G n'est pas dispo.
OpenAI — fallback de dernier recours uniquement. Utilisé avec parcimonie.

Ton texte d'onboarding et le contenu de tes broadcasts sont envoyés à ces fournisseurs dans le cadre des requêtes d'inférence. On n'a opté in pour aucun partage de données d'entraînement avec ces fournisseurs.

Suppression des données

Tu peux supprimer toutes tes données à tout moment en envoyant /reset au bot. Ça programme un wipe complet avec une fenêtre d'undo de 30 secondes. Une fois la fenêtre fermée, le bot envoie un DM de confirmation et tous les enregistrements (profil, sessions, liens sociaux, historique de swipes, embeddings) sont supprimés définitivement de la base et du vector store Qdrant.

Aucune récupération après confirmation. Si tu veux revenir plus tard, envoie /start pour relancer un onboarding propre.

Divulgation responsable

Si tu trouves une faille de sécurité dans Me&New :

Envoie un mail à support@thesignal.directory avec une description du problème et les étapes pour le reproduire.
Merci de ne pas divulguer publiquement la faille tant qu'on n'a pas eu un délai raisonnable (90 jours) pour la corriger.
On accuse réception de ton signalement sous 72 heures et on te tient au courant de l'avancée.

On n'a pas encore de bug bounty, mais on créditera publiquement les chercheurs qui divulguent de manière responsable (s'ils le souhaitent).