Sécurité et signalement

La base de données et les comptes sont hébergés dans l’Union européenne, chez Supabase. Le site et l’application web sont servis par Vercel.

Un export de tes données se demande depuis l’application ; le dossier se télécharge une fois connecté, depuis un lien qui expire.

La suppression du compte efface le compte et ce qui s’y rattache. La marche à suivre est décrite dans le guide.

Ce que tu chantes dans les exercices de voix ne quitte pas l’appareil, et tes surlignages ne portent jamais ton nom : un passage surligné par au moins deux lecteurs apparaît seulement compté, sans nom, dans « Passages populaires ».

Apôtre est une association, et la sécurité de ses utilisateurs dépend aussi de ceux qui trouvent une faille avant les autres. Nous voulons travailler avec les chercheurs de bonne foi plutôt que contre eux. Si une même faille touche aussi un autre service, signalez-la à chacun séparément.

Les sites et les applications d’Apôtre accessibles depuis Internet : apotre.org et ses sous-domaines, l’application web, les applications pour iPhone, Android et ordinateur, et les fonctions serveur qu’elles appellent. Les services de nos prestataires (hébergement, paiement des dons, envoi des e-mails) n’en font pas partie : une faille chez eux se signale à eux directement.

Les failles techniques : injection SQL, script intersite, requête forgée, élévation de privilèges, parcours de répertoires, mauvaise configuration. Et, plus propres à une application comme la nôtre, une règle d’accès qui laisse lire ou modifier les données d’un autre compte, ou une fonction qu’on peut appeler sans être connecté alors qu’elle devrait l’exiger.

Les bonnes pratiques générales sans faille démontrée (en-têtes, enregistrements de messagerie, attributs de cookies), un réglage TLS sans preuve de concept, le déni de service, l’absence de limite de débit sur une page sans compte, la force brute, l’ingénierie sociale, l’intrusion physique, le détournement de clic sur une page sans action sensible, et la faille d’une dépendance sans correctif ou corrigée depuis moins de trente jours. Une réponse de L’Agent fausse ou inadaptée n’est pas une faille non plus : écrivez-nous en joignant la conversation, nous la traitons à part.

Écrivez à contact@apotre.org, objet « Faille de sécurité », une faille par message. Indiquez sa nature et la gravité que vous lui prêtez, l’endroit où elle se trouve (adresse, écran, version de l’application), les étapes pour la reproduire, une preuve de concept, ce qu’elle permettrait, et la correction que vous suggérez si vous en avez une. Une question avant de tester s’envoie à la même adresse.

Ne testez que ce qu’il faut pour établir la faille, et n’allez pas plus loin que la preuve. N’utilisez que vos propres comptes ou des comptes créés pour l’occasion, jamais celui de quelqu’un d’autre. Ne modifiez ni ne supprimez aucune donnée, ne dégradez pas le service, et effacez dès votre signalement les données rencontrées en chemin. Ne trompez ni l’association ni ses utilisateurs, ne demandez aucune contrepartie, et restez dans le cadre de la loi.

Nous accusons réception sous trois jours ouvrés. Nous examinons le signalement, confirmons la faille si elle est réelle et la corrigeons dans la mesure de nos moyens, en vous tenant au courant jusqu’au bout. Votre nom et vos coordonnées restent confidentiels, sauf obligation légale ; avec votre accord, nous vous nommons quand la correction est rendue publique. Nous ne versons pas de récompense : l’association vit des dons de ses utilisateurs.

Si votre recherche est de bonne foi et suit cette politique, l’association ne portera pas plainte et n’engagera aucune action en justice contre vous à son sujet, dans les limites de la loi. Le signalement doit être sans condition : une menace, ou une demande d’argent en échange du silence, fait sortir de cette politique.

Attendez notre accord écrit avant d’en parler à quiconque. Nous ne cherchons pas à vous faire taire : nous demandons seulement de choisir la date ensemble, une fois les utilisateurs protégés.

La date en tête de cette section change avec elle. Un signalement reçu avant une modification reste régi par la version en vigueur le jour où vous l’avez envoyé.