Divulgation responsable

1. Signaler une vulnérabilité

Vous avez identifié une faille de sécurité sur Akolite ? Écrivez-nous à security@akolite.fr. Pour nous aider à traiter votre signalement rapidement, merci d'y inclure :

• Une description claire de la vulnérabilité et de son impact potentiel
• Les étapes précises pour la reproduire (URL, requêtes, captures, vidéo si utile)
• Le composant concerné (site, application ou API)
• Votre environnement (navigateur, système) si c'est pertinent

Si vous le souhaitez, nous pouvons convenir ensemble d'un moyen d'échange chiffré avant que vous ne nous transmettiez les détails.

2. Périmètre

Le programme couvre les services en production d'Akolite :

• akolite.fr : le site vitrine
• app.akolite.fr : l'application
• api.akolite.fr : l'API

Les services tiers que nous utilisons (hébergeur, prestataire de paiement, etc.) relèvent de leurs propres programmes de sécurité.

3. Règles de bonne conduite

Pour que votre démarche reste de bonne foi et protégée, nous vous demandons de :

• Vous limiter à une preuve de concept, sans exploiter la faille au-delà du nécessaire
• Ne jamais accéder, modifier ou supprimer des données qui ne vous appartiennent pas
• Ne pas dégrader le service (pas d'attaque par déni de service, pas de test de charge)
• Ne pas recourir à l'ingénierie sociale, à l'hameçonnage ou à l'accès physique
• Nous laisser un délai raisonnable pour corriger avant toute divulgation publique

Si vous respectez ces règles, nous nous engageons à ne pas engager de poursuites à votre encontre pour vos recherches menées de bonne foi.

4. Notre engagement

• Accuser réception de votre signalement sous 5 jours ouvrés
• Vous tenir informé de l'avancement du traitement
• Corriger les failles confirmées dans les meilleurs délais, par ordre de gravité
• Vous créditer publiquement, avec votre accord, une fois la faille corrigée

5. Reconnaissance

Akolite est une toute jeune société. Nous ne proposons pas encore de récompense financière. En revanche :

• Nous remercions sincèrement chaque personne qui nous aide à protéger nos utilisateurs
• Avec votre accord, nous vous mentionnons dans nos remerciements sécurité
• À mesure que la société grandira, nous saurons faire preuve de reconnaissance envers celles et ceux qui nous auront aidés dès le début

Votre contribution compte, et nous ne l'oublierons pas.

6. Hors périmètre

Certains rapports ne sont généralement pas retenus :

• Résultats bruts de scanners automatiques sans impact démontré
• Absence de bonnes pratiques sans vulnérabilité exploitable
• Ingénierie sociale, courriers indésirables, ou problèmes nécessitant un accès physique
• Failles déjà connues ou déjà signalées

7. Contact

Pour tout signalement : security@akolite.fr.

Un fichier security.txt (standard RFC 9116) est également disponible à l'adresse /.well-known/security.txt.

Pour toute autre demande, vous pouvez utiliser notre formulaire de contact.