Politique de sécurité

Comment nous protégeons vos fichiers

Ce que nous faisons de ce que vous nous confiez :

• Sans conservation, nous ne gardons pas vos fichiers : nous enregistrons seulement leur empreinte (SHA-256). Avec Sellat Local, le fichier ne quitte même pas votre appareil.
• Si vous activez la conservation, nous chiffrons le fichier chez Sellat avant de l’envoyer au stockage, avec une clé différente pour chaque fichier (AES-256-GCM). Le fournisseur de stockage, dans l’Union européenne, ne détient que des données chiffrées et ne peut pas les ouvrir.
• La clé qui les ouvre se trouve sur nos serveurs, séparée du stockage.
• À chaque téléchargement d’un original, nous vérifions que son empreinte correspond à celle de votre preuve. Sinon, nous ne le remettons pas.

Comment signaler

Écrivez à security@sellat.app, en catalan, en espagnol ou en anglais.

Pour que nous puissions la reproduire et l’évaluer, indiquez :

• Une description de la vulnérabilité.
• Les étapes pour la reproduire.
• L’impact que vous pensez qu’elle a.
• L’URL ou l’endpoint concerné.

Notre engagement

Quand nous recevons votre signalement :

• Nous en accusons réception sous 72 heures.
• Nous vous tenons informé de son état au moins tous les 7 jours jusqu’à sa clôture.
• Nous le corrigeons dans un délai raisonnable selon sa gravité.
• Si vous le souhaitez, nous vous remercions publiquement dans la section des remerciements.

Safe harbor

Nous n’engagerons aucune action en justice contre quiconque mène des recherches de bonne foi et respecte cette politique.

Si vous doutez qu’un test soit autorisé, demandez-nous d’abord à security@sellat.app.

Règles

Pendant vos recherches :

• N’accédez pas aux données de tiers, ne les modifiez pas et ne les détruisez pas. Si vous tombez dessus par accident, arrêtez-vous et prévenez-nous.
• Pas de déni de service (DoS), de spam, d’ingénierie sociale ni d’attaques physiques.
• Utilisez uniquement vos propres comptes.
• Laissez-nous un délai raisonnable pour corriger le problème avant de le rendre public.

Hors périmètre

Nous ne traitons pas les points suivants comme des vulnérabilités, sauf si vous démontrez un impact réel :

• Les rapports de scanners automatiques sans preuve d’impact.
• Les en-têtes de sécurité manquants sans exploitation possible.
• Le clickjacking sur des pages sans action sensible.
• La configuration SPF ou DMARC.
• Le self-XSS.
• Les limites de fréquence sur des endpoints non critiques.

Récompenses

Nous n’avons pas de programme de bug bounty rémunéré pour le moment. Ce que nous pouvons vous offrir, ce sont nos remerciements publics, si vous le souhaitez.

Remerciements

Les personnes qui nous ont signalé une vulnérabilité de manière responsable et ont accepté d’apparaître ici.