Politique de divulgation des vulnérabilités
Vous pensez avoir trouvé une faille de sécurité dans GetAff ? Merci de nous l’écrire avant de la rendre publique : voici comment, ce qui est concerné et ce à quoi nous nous engageons.
Dernière mise à jour :
Signaler une vulnérabilité
Écrivez à security@getaff.org. Décrivez le problème, les étapes pour le reproduire, l’impact que vous estimez et, si possible, une preuve de concept. Le français et l’anglais conviennent tous deux, l’espagnol et l’allemand aussi.
Ne mettez dans votre message aucune donnée personnelle d’un tiers que vous auriez pu voir : décrivez-la plutôt.
Périmètre
Sont concernés : le site www.getaff.org, l’API publique (/api/v1) et le serveur MCP (/api/mcp), ainsi que les points d’authentification qui les servent (OAuth, clés d’API).
Hors périmètre : les services tiers que nous utilisons (Stripe, Google Cloud, Cloudflare…) — signalez-les à leur éditeur ; les attaques par déni de service ; l’ingénierie sociale visant notre équipe ou nos utilisateurs ; les rapports d’outils automatiques sans impact démontré.
Règles de test
Testez uniquement avec vos propres comptes. N’accédez pas aux données d’autres utilisateurs, ne les modifiez ni ne les supprimez : arrêtez-vous dès que la faille est démontrée. Ne dégradez pas le service et n’utilisez pas de volumes de requêtes susceptibles de le perturber.
Laissez-nous le temps de corriger avant toute publication ; nous conviendrons d’une date avec vous.
Engagement de bonne foi
Si vous respectez cette politique, nous considérons vos recherches comme autorisées : nous n’engagerons aucune poursuite et ne porterons pas plainte contre vous à ce titre, et si un tiers le faisait, nous ferons savoir que vous avez agi en accord avec cette politique.
Ce que nous nous engageons à faire
Accuser réception de votre signalement sous 5 jours ouvrés, vous tenir informé de son traitement, et vous créditer publiquement si vous le souhaitez une fois la faille corrigée. Nous ne proposons pas de récompense financière.