Sécurité et divulgation responsable
Si vous trouvez une vulnérabilité, prévenez-nous d’abord et laissez-nous un délai raisonnable pour la corriger.
Le contact sécurité n’est pas encore en place : adresse, clé de chiffrement et délais de réponse sont [À VÉRIFIER]. D’ici là, n’envoyez pas de détails sensibles à une adresse générale.
Comment signaler
- Contact : [À VÉRIFIER : adresse de contact sécurité]. Un fichier security.txt lisible par machine (RFC 9116) sera publié avec elle.
- Indiquez ce que vous avez trouvé, comment le reproduire et son impact probable. N’envoyez que le minimum de données nécessaire pour le prouver.
- Nous visons un accusé de réception sous [À VÉRIFIER] et à vous tenir informé jusqu’à la correction.
Règles
- Dans le périmètre : l’API, la console développeur et ce site, une fois en ligne.
- N’accédez pas aux données d’autres clients, ne les modifiez pas, ne les supprimez pas. Arrêtez-vous à la preuve de concept.
- Pas de déni de service, de spam, d’ingénierie sociale ni d’attaque physique.
- Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique. Protection juridique de la recherche de bonne foi et éventuelle récompense : [À VÉRIFIER].
Mesures de sécurité du site
| Mesure | Détail |
|---|---|
| Content-Security-Policy | default-src, script-src et connect-src limités au site (et à l’origine de l’API pour connect-src) ; aucun script ni gestionnaire d’événement en ligne sur aucune page, vérifié à chaque build |
| Transport | Strict-Transport-Security pendant un an, sous-domaines compris |
| Autres en-têtes | X-Content-Type-Options nosniff, X-Frame-Options DENY, Referrer-Policy strict-origin-when-cross-origin, Permissions-Policy désactivant géolocalisation, caméra, micro et paiement, Cross-Origin-Opener-Policy same-origin |
| Journaux | Le serveur web n’écrit aucun journal d’accès |
| Tiers | Aucun script, police ni outil de mesure d’audience tiers |
Ces en-têtes sont définis dans le manifeste d’hébergement. Ils ne sont pas encore vérifiés sur un déploiement en ligne. [À VÉRIFIER]
Mesures de sécurité de l’API et de la console
- Les clés d’API et les jetons de connexion ne sont conservés que sous forme d’empreintes (ZL-20, ZL-25).
- Les réponses d’erreur ne renvoient jamais la valeur fautive (ZL-12).
- Une organisation ne voit ni les clés ni l’usage d’une autre ; les clés révoquées et expirées sont refusées (ZL-26).
- Le lien de connexion circule dans le fragment d’URL, vaut 15 minutes et ne fonctionne qu’une fois. Le jeton de session n’est jamais placé dans une URL.