Politique de divulgation de sécurité

Les services de production uniquement :

• checkfox.eu, y compris l'application web ;
• api.checkfox.eu, l'API publique et le serveur MCP ;
• public.checkfox.eu, où les clients publient leurs documents ;
• la dernière version publiée de l'extension de navigateur CheckFox.

• Les environnements de préproduction et de test.
• Les services de tiers, comme les prestataires d'hébergement, de paiement ou d'e-mail. Signalez-les au prestataire concerné.
• Le déni de service, les tests de charge, et tout ce qui dégrade le service pour les autres utilisateurs.
• L'ingénierie sociale, l'hameçonnage et les attaques physiques.
• Les rapports de scanners automatiques sans impact démontré.
• L'absence d'en-têtes de sécurité, de réglages TLS ou d'enregistrements e-mail, sauf si vous montrez une manière concrète de l'exploiter.
• Le détournement de clic sur des pages sans action sensible, le self-XSS et l'affichage de versions logicielles.

• Testez uniquement avec des comptes qui vous appartiennent. Un compte gratuit suffit, et vous pouvez en créer deux pour tester la séparation entre espaces de travail.
• N'accédez jamais aux données d'un autre utilisateur, ne les modifiez pas et ne les supprimez pas. Si vous en atteignez par accident, arrêtez-vous là, n'en gardez aucune copie, et indiquez-le dans votre signalement.
• Limitez les requêtes automatisées à un rythme raisonnable.
• Ne laissez rien derrière vous : aucune porte dérobée, aucune modification persistante, aucun contenu visible par d'autres utilisateurs.
• Ne rendez pas la vulnérabilité publique avant sa correction, ou avant 90 jours après votre signalement, sauf accord contraire.

Écrivez à l'adresse en bas de cette page, en français ou en anglais, avec :

• une description de la vulnérabilité et de son impact ;
• les étapes pour la reproduire, et l'adresse ou le point d'accès concerné ;
• comment vous contacter, et si vous souhaitez être cité, et sous quel nom.

Si votre signalement doit contenir des données sensibles, envoyez un premier message sans elles et nous conviendrons d'un moyen de les transmettre.

• Un accusé de réception sous 3 jours ouvrés.
• Une première évaluation sous 10 jours ouvrés : le problème est-il confirmé, et quelle gravité je lui attribue.
• Des nouvelles jusqu'à la correction, et un message quand elle est faite.
• Les problèmes critiques passent avant tout autre travail.

Si vous agissez de bonne foi et respectez cette politique, je considère votre recherche comme autorisée. Je n'engagerai aucune action en justice contre vous et ne porterai pas plainte à ce sujet, et si un tiers le fait, je ferai savoir que vous avez agi avec mon autorisation.

Cet engagement ne lie que moi : il ne peut lier ni les autorités publiques ni des tiers. En cas de doute sur ce qui est permis, demandez avant d'agir.

CheckFox est une petite entreprise et ne peut pas encore offrir de récompense financière. Avec votre accord, je vous cite par votre nom ou votre pseudonyme dans l'entrée du journal des modifications qui annonce la correction, et vous remercie publiquement pour votre aide.

L'adresse de contact et cette politique sont aussi publiées dans security.txt, conformément à la RFC 9116.