Confidentialité de Tsuba
Ce que Tsuba garde sur votre Mac, ce qu’elle envoie sur le réseau et quand, et ce qu’elle ne fait jamais.
- Mis à jour
En bref : Tsuba n’a ni compte, ni télémétrie, ni statistiques d’utilisation, ni rapports de plantage. Ce qu’elle enregistre reste sur votre Mac. Elle ne se connecte que pour vérifier le code qui se trouve devant elle et tenir à jour ses renseignements sur les menaces, et l’étape d’IA reste désactivée tant que vous ne l’avez pas configurée.
Ce qui reste sur votre Mac
Tout ce que Tsuba enregistre se trouve dans ~/.tsuba, dans votre dossier personnel :
- les réglages, y compris les clés d’API que vous ajoutez
- l’historique de chaque vérification et de ses preuves
- les fichiers en quarantaine (
~/.tsuba/quarantine) - les renseignements sur les menaces téléchargés (
~/.tsuba/intel)
Rien de tout cela n’est envoyé nulle part. Pour supprimer tout ce que Tsuba a stocké, supprimez ~/.tsuba.
Ce qui quitte votre Mac, et quand
| Ce qui est envoyé | Envoyé à | Quand |
|---|---|---|
| Les noms et versions des dépendances d’un projet | OSV, la base ouverte de vulnérabilités | Quand vous installez ou analysez un projet, pour chercher les paquets dans les listes de paquets malveillants connus |
| Un nom de paquet | Le registre npm | Pour vérifier l’ancienneté d’un paquet et s’il exécute des scripts d’installation |
| Un nom de domaine | rdap.org | Pour vérifier depuis quand un domaine de téléchargement est enregistré |
| Le hash SHA-256 d’un fichier, jamais le fichier | VirusTotal | Uniquement si vous ajoutez votre propre clé d’API VirusTotal |
| Rien sur vous ni sur votre code | GitHub (paquets malveillants OpenSSF), la liste de la marketplace VS Code, abuse.ch (uniquement avec votre propre clé) | Téléchargements quotidiens des renseignements sur les menaces |
| Le script ou l’installeur que vous alliez exécuter | Sa source | Tsuba le récupère pour le lire sans l’exécuter, la même requête que vous alliez faire |
| Les preuves dont une vérification a besoin | Le fournisseur d’IA que vous avez choisi | Uniquement quand l’IA est activée |
L’étape d’IA
L’analyse par IA est facultative et désactivée tant que vous n’avez pas choisi de fournisseur : Claude (via Claude Code ou l’API Anthropic), OpenAI, DeepSeek, DashScope d’Alibaba Cloud, Google Gemini ou un modèle qui tourne en local. Avec un modèle local, rien ne quitte votre Mac.
Quand elle est activée, Tsuba n’envoie que les preuves dont une seule vérification a besoin : les lignes suspectes, leur provenance et ce qui a correspondu. Les commentaires du code sont retirés au préalable. Les valeurs des variables d’environnement, les clés d’API et les tokens ne sont jamais inclus, et ils sont aussi tenus à l’écart des journaux de Tsuba. La politique de confidentialité du fournisseur s’applique à ce qu’il reçoit.
Ce que Tsuba ne fait jamais
- Elle n’envoie jamais vos fichiers ni vos projets.
- Elle n’a ni télémétrie, ni analytics, ni rapports de plantage : le développeur ne peut pas savoir qui l’utilise ni comment.
- Elle n’affiche aucune publicité et ne vend rien.
Tsuba est open source (sur GitHub, Apache 2.0) : tout ce qui précède peut donc être vérifié dans le code. Les questions vont dans GitHub Issues.