Aller au contenu

Sécurité et divulgation responsable

Si vous pensez avoir trouvé une vulnérabilité sur kaperx.ma, écrivez à kaperx.ma@gmail.com. Nous accusons réception sous deux jours ouvrés, nous vous tenons informé jusqu'à la correction et nous n'engageons aucune action en justice contre une recherche menée de bonne foi dans le respect des règles ci-dessous. Nous ne proposons pas de récompense financière.

Signaler une vulnérabilité

Envoyez votre signalement à kaperx.ma@gmail.com. Les mêmes coordonnées figurent dans le fichier lisible par les machines /.well-known/security.txt, publié à la racine du site selon le format standard prévu à cet effet.

Vous pouvez écrire en français, en arabe ou en anglais. Merci de ne pas utiliser le formulaire de contact ni WhatsApp pour un signalement de sécurité : ils ne sont pas prévus pour des informations sensibles.

Ce que votre signalement doit contenir

Un signalement précis nous permet de reproduire le problème et de le corriger plus vite :

  • l'adresse exacte de la page ou de la ressource concernée ;
  • la nature de la vulnérabilité et son impact possible ;
  • les étapes pour la reproduire, avec les requêtes ou captures d'écran utiles ;
  • la date de votre constat et le navigateur ou l'outil utilisé ;
  • le moyen par lequel vous souhaitez être recontacté, et si vous souhaitez être remercié nommément une fois la correction faite.

N'incluez pas de données personnelles de tiers que vous auriez pu voir. Si vous en avez vu, signalez-le simplement, sans les copier.

Nos engagements

Lorsque vous nous signalez une vulnérabilité de bonne foi :

  1. Nous accusons réception sous deux jours ouvrés.
  2. Nous évaluons le signalement et vous indiquons si nous le confirmons, ainsi que la suite prévue.
  3. Nous vous tenons informé de l'avancement jusqu'à la correction.
  4. Nous n'engageons aucune action en justice contre une recherche menée de bonne foi qui respecte les règles de cette page. Cet engagement nous concerne nous seuls : il ne peut pas lier des tiers, comme l'hébergeur du site ou des autorités.
  5. Nous vous créditons, si vous le souhaitez, une fois la faille corrigée.

Règles à respecter

Pour que votre recherche reste de bonne foi :

  • Pas d'accès aux données d'autrui. N'accédez pas, ne modifiez pas et ne supprimez pas des données qui ne vous appartiennent pas. Arrêtez-vous dès que vous avez démontré le problème.
  • Pas d'atteinte à la disponibilité. Aucun test de déni de service, aucune charge excessive, aucun envoi massif par le formulaire.
  • Pas d'ingénierie sociale. Ne ciblez ni notre équipe, ni nos prestataires, ni nos visiteurs, que ce soit par e-mail, par téléphone ou en personne.
  • Pas d'intrusion physique ni d'attaque contre les infrastructures de nos prestataires.
  • Pas de divulgation publique prématurée. Ne publiez rien avant que la faille soit corrigée, ou, à défaut, avant un délai de 90 jours à compter de votre signalement, sauf accord différent entre nous.

Pas de programme de récompense

KaperX n'a pas de programme de primes aux bogues et ne rémunère pas les signalements. Nous remercions les chercheurs qui le souhaitent, une fois la correction faite.

Ce que fait le site pour protéger les visiteurs

Les mesures ci-dessous décrivent la configuration du site ; elles ne constituent ni une certification, ni le résultat d'un audit.

  • Connexion chiffrée. Le site n'est servi qu'en HTTPS. L'en-tête HSTS demande à votre navigateur d'utiliser systématiquement une connexion chiffrée.
  • Politique de sécurité du contenu stricte. Une Content Security Policy limite les ressources que le navigateur accepte de charger et d'exécuter, ce qui réduit le risque d'injection de scripts.
  • Aucun cookie publicitaire. Le site ne dépose ni cookie publicitaire, ni traceur de réseau social. Le détail figure dans notre politique cookies.
  • Mesure d'audience sans cookie. Nous utilisons Plausible Analytics, un outil de mesure d'audience sans cookie. Ses requêtes passent par notre propre domaine : votre navigateur ne contacte pas directement un service tiers pour cette mesure.
  • Formulaire de contact minimal. Il ne demande que les informations nécessaires pour vous répondre. Il est protégé contre les abus par une limitation du nombre d'envois.
  • Mises à jour et reconstruction. Le site est généré à partir d'un dépôt de code versionné, ce qui permet de le reconstruire à l'identique ; ses dépendances sont mises à jour lors des nouvelles versions.

Si vous pensez que vos données sont concernées

Si votre signalement touche à des données personnelles, ou si vous pensez que les vôtres ont été exposées, écrivez aussi à kaperx.ma@gmail.com. Le traitement de vos données est décrit dans notre politique de confidentialité.