Politique de sécurité

Comment signaler un problème de sécurité

Écris-nous directement. On répond sous 72h - pas de système de ticket, pas de trou noir corporate, juste nous.

Email : security@workoutgen.app

Fichier RFC 9116 : /.well-known/security.txt

Si tu as plusieurs découvertes, envoie-les si possible dans des signalements séparés. Une faille par email rend le triage et l'attribution du crédit beaucoup plus clairs pour tout le monde.

Merci d'inclure

• Des étapes de reproduction claires
• Le périmètre exact testé (URL, endpoint, parcours utilisateur, type de compte, environnement)
• La date et l'heure du test en UTC
• Un impact mesurable
• Des requêtes et réponses sanitizées, logs ou HAR quand c'est pertinent
• Une preuve de concept ou des captures si possible
• Pour les problèmes de session ou de replay, le délai exact entre les actions et si le problème persiste après un refresh ou après plus de 60 secondes

Périmètre

Cette politique couvre workoutgen.app, my.workoutgen.app et tous nos services associés. Si tu n'es pas sûr qu'un truc est dans le périmètre, demande d'abord - on préfère une fausse alerte à un vrai problème raté.

Les signalements qui dépendent uniquement d'extensions navigateur, de malware local, de self-XSS sans frontière de privilège, ou d'un comportement tiers sans impact démontré sur WorkoutGen sont en général hors périmètre.

Ce qu'on te demande

• N'accède pas aux données utilisateurs au-delà du strict nécessaire pour prouver l'existence de la faille
• Ne fais pas de tests de déni de service - notre infra est serrée et chaque requête a un coût
• Pas d'ingénierie sociale, phishing ou attaques physiques
• Si tu tombes par erreur sur quelque chose de sensible, arrête et dis-le-nous - on gardera ça confidentiel et on bossera avec toi, pas contre toi
• Merci de garder des tests limités en rythme et d'éviter toute automatisation qui pourrait dégrader le service
• Merci de masquer les tokens actifs, secrets et données personnelles avant d'envoyer des preuves

Ce que tu peux attendre de nous

On accusera réception sous 72h et on sera transparents sur ce qu'on trouve et ce qu'on peut raisonnablement faire. Aucune mesure légale ne sera engagée contre une recherche de bonne foi qui respecte cette politique, évite toute atteinte à la vie privée et ne perturbe pas le service.

On peut classer un signalement comme confirmé, partiellement confirmé, informatif ou non reproductible. Si on ne valide pas une partie du rapport, on expliquera pourquoi.

Les délais de correction dépendent de la sévérité, de la complexité et de notre capacité. Les vulnérabilités à fort impact sont traitées en priorité. Le Hall of Fame reste discrétionnaire et récompense surtout les signalements valides ou matériellement utiles.

Hall of Fame

Ces chercheurs ont choisi d'aider plutôt que d'exploiter. On leur en est reconnaissants.