1. Signaler une vulnérabilité

Pour signaler une vulnérabilité de sécurité, veuillez nous envoyer un e-mail à : [email protected]

Utilisez l'objet : [Rapport de vulnérabilité de sécurité]

Veuillez inclure dans votre rapport :

• Une description claire de la vulnérabilité et de son impact potentiel
• Des instructions étape par étape pour reproduire le problème
• L'URL, le point de terminaison ou le composant affecté
• Tout code de preuve de concept ou captures d'écran (facultatif mais utile)
• Vos coordonnées pour que nous puissions vous répondre

2. Notre engagement envers vous

Lorsque vous signalez une vulnérabilité de bonne foi, nous nous engageons à :

• Accuser réception de votre rapport dans les 48 heures
• Vous fournir des mises à jour régulières sur notre progression
• Travailler à résoudre les vulnérabilités confirmées aussi rapidement que possible
• Vous informer lorsque le problème a été résolu
• Ne pas engager de poursuites judiciaires contre les chercheurs qui suivent les directives de divulgation responsable
• Vous créditer dans nos remerciements (si vous le souhaitez)

3. Directives de divulgation responsable

Nous demandons aux chercheurs en sécurité de :

• Ne pas accéder, modifier, copier ou supprimer les données appartenant à d'autres utilisateurs
• Ne pas effectuer d'attaques par déni de service (DoS)
• Ne pas utiliser de scanners automatisés contre notre infrastructure sans autorisation préalable
• Ne pas tenter d'ingénierie sociale, de phishing ou d'attaques physiques contre notre équipe
• Nous laisser un délai raisonnable pour corriger le problème avant toute divulgation publique (nous demandons 90 jours)
• Ne pas divulguer publiquement les détails de la vulnérabilité avant que nous ayons publié un correctif
• Effectuer uniquement les tests nécessaires pour confirmer la vulnérabilité

4. Périmètre

Dans le périmètre

Les éléments suivants sont dans le périmètre de la divulgation responsable :

• L'application web FactCheckTool.com
• Nos points de terminaison d'API backend
• Systèmes d'authentification et de gestion des comptes
• Pipeline de téléchargement et de traitement de fichiers
• Notre flux de paiement

Hors périmètre

Les éléments suivants sont hors du périmètre de cette politique :

• Services tiers que nous utilisons
• Attaques par ingénierie sociale ou phishing
• Sécurité physique de notre infrastructure
• Attaques par déni de service ou attaques volumétriques
• Usurpation d'e-mail ou spam sans impact démontré

5. security.txt

Nous maintenons un fichier security.txt standard à /.well-known/security.txt conformément à la RFC 9116, facilitant la recherche de nos coordonnées de sécurité.