Clé PGP publique

Clé actuelle

Comment vérifier cette clé

You should verify the key before trusting it. Four independent channels to cross-check the fingerprint A62A EDAF 647E E3E6:

1. This page, fetched over HTTPS with a valid TLS certificate from Let's Encrypt.
2. DNS — _openpgpkey.bitvps.io TXT record lists the same fingerprint.
3. Keybase — keybase.io/bitvps (cross-signed on Twitter/Mastodon).
4. Keyservers — keys.openpgp.org, keyserver.ubuntu.com, pgp.mit.edu.

If any of the four disagree with the fingerprint on this page, do not use the key and report the discrepancy via PGP.

Ce que nous signons avec cette clé

• Warrant canary hebdomadaire — /canary.
• Correspondance d'assistance sur les sujets sensibles (abus, affaires juridiques, litiges de facturation).
• Reçus de facturation sur demande.
• Publication du Rapport de transparence (semestriel).

Les e-mails système automatisés (réinitialisation du mot de passe, alertes d'utilisation) ne sont pas signés PGP. Ne présumez pas qu'un e-mail automatisé non signé fait autorité — recoupez l'information via le panneau de contrôle.

Rotation de clé

Nous faisons tourner la clé primaire tous les trois ans avec chevauchement : la nouvelle clé est publiée six mois avant l'expiration, contre-signée par la clé sortante, et la transition est annoncée sur cette page, dans le canary, ainsi que par e-mail aux titulaires de compte disposant de clés publiques PGP enregistrées.

En cas de compromission avérée ou suspectée, un certificat de révocation est publié immédiatement sur cette page, sur les serveurs de clés listés ci-dessus et lors de la prochaine mise à jour du canary. Nous conservons le certificat de révocation pré-signé hors ligne, réparti par partage de secret de Shamir entre le secrétaire de la société à Saint Kitts et deux responsables non opérationnels.

Nous envoyer un message signé ou chiffré

Pour les questions sensibles (signalements d'abus impliquant des personnes identifiables, avis juridiques, divulgations de recherches en sécurité, demandes de facturation confidentielles), nous recommandons l'utilisation du courrier chiffré et/ou signé PGP.

Si vous ne disposez pas de clé PGP personnelle et souhaitez néanmoins nous contacter via un canal chiffré de bout en bout, demandez une clé via PGP et nous mettrons en place un salon Signal ou Element éphémère pour l'échange.