Signaler une vulnérabilité

Écrivez à [email protected] en décrivant le problème, les étapes pour le reproduire et son impact. Nous accusons réception sous 3 jours ouvrés, vous tenons informé de la correction et vous créditons publiquement si vous le souhaitez. Le contact est aussi publié au format standard dans /.well-known/security.txt (RFC 9116).

Ce que nous demandons

• Tester uniquement avec votre propre compte, sans accéder aux données d'autres clients ni les modifier.
• Pas de déni de service, de spam, d'ingénierie sociale ni d'attaque physique.
• Nous laisser un délai raisonnable (90 jours au plus) pour corriger avant toute publication.

Une recherche menée de bonne foi dans ce cadre ne fera l'objet d'aucune poursuite de notre part.

Comment la plateforme est protégée

• Tout le trafic est chiffré (HTTPS, HSTS) et passe par un tunnel chiffré Cloudflare : l'application n'écoute que localement et n'est joignable par aucun port ouvert vers Internet.
• Mots de passe stockés sous forme de hachage irréversible ; clés API stockées hachées (SHA-256) et affichées une seule fois.
• Double authentification (TOTP) disponible pour tous les comptes, avec codes de secours à usage unique.
• Protection contre la falsification de requêtes (CSRF), limitation des tentatives de connexion, politique de sécurité du contenu (CSP) stricte, aucun script tiers sur le site.
• Paiements traités par Stripe : aucune donnée de carte ne transite par nos serveurs.
• Le collecteur n'interagit jamais avec l'infrastructure des attaquants : il lit uniquement des publications de recherche.