Confiance
Présentation de la sécurité
ClawLink connecte vos applications à votre agent IA via OAuth hébergé, de sorte que vous n'enregistrez jamais vos propres applications OAuth ni ne collez les secrets du fournisseur dans le chat. Cette page explique comment fonctionne une connexion, comment nous stockons les informations d'identification et où se trouvent les limites.
Comment fonctionne une connexion
Vous approuvez l'accès auprès du fournisseur
Vous vous connectez et accordez l'accès sur l'écran du fournisseur lui-même. Le flux OAuth hébergé est géré par Composio, notre partenaire d'infrastructure pour les informations d'identification.
Nous stockons une référence, pas vos jetons
Pour les connexions hébergées, ClawLink conserve uniquement un pointeur vers votre compte connecté. Les jetons OAuth de votre fournisseur restent avec Composio.
Votre agent exécute un outil que vous avez déclenché
Lorsque vous demandez à votre agent de faire quelque chose, ClawLink exécute cette requête auprès du fournisseur pour vous. Rien ne se passe à moins que vous ne le déclenchiez.
Vous gardez le contrôle
Déconnectez toute connexion de votre tableau de bord à tout moment et révoquez l'accès au fournisseur directement quand vous le souhaitez.
Comment nous stockons les informations d'identification
La plupart des intégrations se connectent via notre flux hébergé Composio, où ClawLink conserve uniquement une référence à votre compte connecté, pas les jetons de votre fournisseur. Lorsqu'une intégration nécessite un identifiant que nous détenons directement, comme une clé API que vous saisissez lors de la configuration, nous le chiffrons avec AES-256-GCM avant qu'il ne soit écrit dans notre base de données et le déchiffrons uniquement en mémoire lors de l'exécution de votre requête. Les clés de chiffrement peuvent être renouvelées sans interruption de service.
Le code qui tourne sur votre machine est public
Les plugins pour agents, la CLI et l'adaptateur MCP sont publiés en intégralité sur GitHub : vous pouvez lire exactement ce qui s'exécute sur votre ordinateur avant de l'installer. Ils ne contactent qu'un seul hôte, claw-link.dev, et ne détiennent qu'un seul secret : votre clé d'API ClawLink. Ils ne voient jamais les mots de passe ni les jetons OAuth de vos applications.
Accès opérationnel et données
Nous demandons le périmètre d'accès minimal dont chaque fonction a besoin. Chaque appel d'outil est journalisé avec les arguments envoyés par votre agent et la réponse renvoyée par le fournisseur, afin de pouvoir diagnostiquer un appel en échec et permettre au support de voir ce qui s'est passé. Ces journaux sont supprimés au bout de 90 jours. Les statistiques produit ne reçoivent que l'outil exécuté, l'heure et le résultat, jamais le contenu.
Déconnexion des intégrations
Vous pouvez déconnecter toute connexion de votre tableau de bord ClawLink à tout moment. Pour une suppression avec une assurance plus élevée, révoquez directement l'accès de ClawLink depuis le compte du fournisseur et contactez-nous pour les demandes de suppression.
Sur quoi nous comptons
ClawLink fonctionne sur une infrastructure que nous n'exploitons pas nous-mêmes. L'OAuth hébergé et le stockage des jetons du fournisseur sont gérés par Composio, qui publie sa conformité dans son centre de confiance, et le service s'exécute sur Cloudflare. Pour exécuter une requête, nous déchiffrons vos informations d'identification en mémoire au moment de l'exécution : le chiffrement des données stockées ne signifie donc pas que ClawLink ne manipule jamais le secret. Nous préférons être précis sur ces limites plutôt que de laisser entendre qu’il y a plus d’isolement qu’il n’y en a.
Signaler des problèmes de sécurité
Les rapports de sécurité peuvent être envoyés à security@claw-link.dev. Veuillez inclure les étapes de reproduction, les points de terminaison concernés et tout contexte de compte ou de demande pertinent.