Divulgation responsable
Politique de signalement des vulnérabilités de sécurité, conforme RFC 9116. Nous nous engageons à traiter chaque alerte de bonne foi, sans poursuite contre le chercheur.
Notre engagement
La sécurité des données de nos visiteurs et de nos clients est une priorité absolue. Si vous découvrez une vulnérabilité dans l'un de nos services, nous vous remercions de nous en informer de façon responsable, avant toute divulgation publique.
Nous nous engageons à accuser réception de votre signalement sous 72 heures, à traiter la faille de bonne foi, à vous tenir informé·e de l'avancement, et à ne jamais engager de poursuites contre un chercheur agissant dans le cadre de cette politique.
Périmètre couvert
Cette politique s'applique aux services suivants, opérés par MonSnoW :
- Site principal
- https://monsnow.fr
- API publique
- https://api.monsnow.fr
- Stockage média
- https://media.monsnow.fr
- Domaine historique (redirigé)
- https://lecontedesmontsbleus.fr
Ce qui n'est pas couvert
Sont explicitement exclus du périmètre de cette politique :
- Infrastructure hébergeur
- Vercel, Cloudflare, Stripe, Google — signalez directement chez eux.
- Sites de partenaires
- Tout site tiers lié depuis monsnow.fr mais non opéré par nous.
- Attaques par déni de service
- DoS, DDoS, stress tests sans autorisation préalable écrite.
- Ingénierie sociale
- Phishing, vishing, manipulation d'employés ou de prestataires.
- Vulnérabilités théoriques
- Sans preuve d'exploitation concrète et reproductible.
Comment nous contacter
Envoyez votre signalement à anthony@monsnow.fr. Pour faciliter notre travail, merci d'inclure :
- Description
- Nature de la vulnérabilité et impact potentiel (confidentialité, intégrité, disponibilité).
- Reproduction
- Étapes détaillées permettant de reproduire le problème (URLs, payloads, captures).
- Périmètre observé
- Le ou les services touchés (site, API, média).
- Identité (facultatif)
- Votre nom ou pseudo si vous souhaitez être crédité·e dans notre Hall of Fame.
Notre processus
- Accusé de réception
- Sous 72 heures après votre email.
- Évaluation initiale
- Sous 5 jours ouvrés (criticité, périmètre, plan de remédiation).
- Correctif déployé
- 7 à 30 jours selon la criticité
- Notification
- Confirmation du fix et autorisation de divulgation publique de votre côté.
- Divulgation responsable
- Merci d'attendre 90 jours après notre fix, ou notre accord explicite, avant toute publication.
Hall of Fame
MonSnoW ne dispose pas (encore) d'un programme de bug bounty financier. Nous remercions toutefois publiquement les chercheurs qui contribuent à la sécurité de nos services, avec leur accord, dans une page dédiée mise à jour à chaque divulgation responsable.
Si vous le souhaitez, indiquez votre identité publique (nom, pseudo, lien vers votre profil GitHub ou LinkedIn) dans votre signalement.
Pour aller plus loin
- RFC 9116
- security.txt — https://www.rfc-editor.org/rfc/rfc9116
- security.txt MonSnoW
- https://monsnow.fr/.well-known/security.txt
- Mentions légales
- https://monsnow.fr/mentions-legales
- Contact général
- anthony@monsnow.fr