Signaler une faille de sécurité

Écrivez à [security@exemple.org : adresse à compléter] avec un objet clair (« Vulnérabilité ARALLIA »). Si possible, chiffrez votre message avec notre clé publique [empreinte et lien : à compléter]. Les coordonnées figurent aussi dans le fichier /.well-known/security.txt (RFC 9116).

• la description de la faille et son impact potentiel ;
• les étapes précises pour la reproduire (adresse, requête, compte de test utilisé) ;
• la version, la date et votre navigateur ou outil, si pertinent ;
• vos coordonnées, si vous souhaitez une réponse (un rapport anonyme est accepté).

• accuser réception sous [3 jours ouvrés : à confirmer] ;
• vous tenir informé·e de l’avancement et du correctif ;
• ne pas engager de poursuites contre une personne qui respecte les règles ci-dessous et agit de bonne foi ;
• vous créditer publiquement si vous le souhaitez, une fois la faille corrigée.

• ne pas accéder aux données d’autres personnes au-delà du strict nécessaire pour démontrer la faille, ni les modifier ou les supprimer ;
• ne pas dégrader le service (pas de déni de service, pas de test de charge, pas de spam) ;
• ne pas utiliser d’ingénierie sociale ni de hameçonnage contre l’équipe ou les utilisateurs, ni d’attaque physique ;
• nous laisser un délai raisonnable de correction avant toute divulgation publique [délai : 90 jours, à confirmer].

Sont concernés le site web de ARALLIA, son API et leurs sous-domaines [liste à compléter]. Les vulnérabilités des services tiers (hébergeur, fournisseur de cartes) doivent être signalées à leurs éditeurs. Aucune prime n’est prévue pour le moment.