Politique de sécurité

Nous prenons très au sérieux la sécurité de YourImageShare et de celles et ceux qui l'utilisent. Si vous avez découvert une faille de sécurité, merci de nous en informer. Cette page explique comment la signaler, ce que vous pouvez attendre de notre part et les règles à respecter pour tester en toute sécurité.

1. Comment signaler une faille

Écrivez à [email protected], ou utilisez le formulaire de contact en commençant l'objet par « Security ». Merci de ne pas signaler de failles dans des espaces publics (tickets GitHub, commentaires, réseaux sociaux) avant qu'elles ne soient corrigées.

Merci d'indiquer :

• une description du problème et de ce qu'un attaquant pourrait en faire ;
• les étapes exactes, les URL et les requêtes nécessaires pour la reproduire (une preuve de concept est la bienvenue) ;
• l'élément concerné : page du site, point d'accès de l'API, extension de navigateur, plugin WordPress, SDK, bot ;
• la façon dont vous souhaitez être cité, le cas échéant.

Nos coordonnées au format lisible par machine se trouvent dans /.well-known/security.txt.

2. Ce que vous pouvez attendre de nous

• Accusé de réception sous 5 jours ouvrés.
• Première évaluation (si nous parvenons à reproduire la faille et quelle est sa gravité) sous 10 jours ouvrés.
• Un correctif ou un point d'avancement sous 90 jours. Les problèmes graves sont corrigés le plus vite possible, généralement bien plus tôt.
• Divulgation coordonnée. Merci d'attendre que le problème soit corrigé, ou que 90 jours se soient écoulés, avant de publier des détails. Nous sommes ravis de convenir d'une date avec vous.

Nous sommes une petite équipe. Nous vous tiendrons informé et n'ignorerons pas un signalement valide.

3. Protection juridique (safe harbour)

Si vous faites de bonne foi des efforts pour respecter cette politique, nous considérons vos recherches comme autorisées. Nous n'engagerons aucune action en justice contre vous et ne vous signalerons pas aux autorités pour cela, et nous ne bannirons pas votre compte pour cette raison. Si un tiers engage une action en justice contre vous pour des recherches conformes à cette politique, nous ferons savoir que votre travail était autorisé.

La bonne foi signifie que vous :

• testez uniquement avec vos propres comptes et vos propres fichiers mis en ligne, ou avec des comptes que vous avez la permission d'utiliser ;
• vous arrêtez dès que vous accédez aux données d'autres personnes (fichiers mis en ligne, informations de compte, messages), ne les conservez ni ne les partagez, et nous indiquez ce à quoi vous avez accédé ;
• ne dégradez pas le service pour les autres (pas de déni de service, pas d'analyse automatisée à grand volume, pas de spam) ;
• n'utilisez ni ingénierie sociale, ni hameçonnage, ni attaques physiques contre notre personnel, nos utilisateurs ou nos prestataires ;
• nous laissez un délai raisonnable pour corriger le problème avant de le divulguer ;
• ne mettez jamais en ligne de contenu illégal, y compris du matériel d'abus sexuel sur mineurs, quelle qu'en soit la raison.

Si vous ne savez pas si une action est autorisée, demandez-nous d'abord à [email protected].

4. Dans le périmètre

• yourimageshare.com et ses sous-domaines (par exemple i.yourimageshare.com et status.yourimageshare.com) ;
• l'API publique de mise en ligne, sa documentation, nos SDK officiels et notre serveur MCP ;
• nos extensions de navigateur, notre plugin WordPress et notre bot Telegram.

Exemples de ce que nous voulons connaître : prise de contrôle de compte, contournement de l'authentification ou des autorisations, accès aux fichiers privés ou protégés par mot de passe d'autres personnes, cross-site scripting touchant d'autres utilisateurs, cross-site request forgery sur des actions qui modifient des données, server-side request forgery, injection, exécution de code à distance, et problèmes dans le traitement des fichiers mis en ligne.

5. Hors périmètre

Les éléments suivants ne sont pas considérés comme des failles, sauf si vous pouvez démontrer un impact réel sur les utilisateurs :

• en-têtes HTTP, attributs de cookies ou paramètres TLS manquants ou relevant des « bonnes pratiques » sans attaque fonctionnelle ;
• rapports sur la configuration SPF, DKIM ou DMARC ;
• clickjacking sur des pages sans action sensible ;
• self-XSS, ou attaques nécessitant un accès complet à l'appareil ou au navigateur de la victime ;
• limites de débit sur les pages publiques, et énumération de noms d'utilisateur ou d'adresses e-mail via les profils publics ;
• rapports issus de scanners automatisés sans problème confirmé et reproductible ;
• attaques par déni de service.

6. Un contenu illégal ou abusif n'est pas un signalement de sécurité

Pour signaler un fichier mis en ligne qui est illégal, abusif ou contraire à nos Conditions générales, utilisez le bouton Signaler sur l'élément concerné ou notre formulaire de signalement. Ces signalements sont traités par notre équipe de modération, et non via l'adresse dédiée à la sécurité.

7. Récompenses et mention

Nous ne proposons pas de programme de bug bounty rémunéré. Avec votre accord, nous vous remercierons nommément (ou par votre pseudo) dans les remerciements ci-dessous et dans les notes de version du correctif.

8. Remerciements

Nous remercions les personnes suivantes d'avoir signalé des problèmes de sécurité de manière responsable :

• Aucun signalement n'a encore été crédité.