Accueil Sécurité & Divulgation responsable

Sécurité & Divulgation responsable

Vous avez trouvé une faille de sécurité chez Encryvault ? Voici comment nous la signaler, ce que nous couvrons, et à quoi vous attendre.

Comment nous contacter

Envoyez-nous les détails à security@encryvault.com — idéalement avec une description de la faille, les étapes pour la reproduire, et son impact potentiel. Un fichier security.txt conforme à la RFC 9116 est aussi publié à /.well-known/security.txt pour les outils automatisés.

Merci de ne pas divulguer publiquement une faille avant que nous ayons eu l'occasion de la corriger — voir le délai visé ci-dessous.

Périmètre couvert

Dans le périmètre

  • encryvault.com et ses sous-domaines (api.encryvault.com, etc.)
  • Le tableau de bord web (/dashboard) et l'API
  • Toute faille pouvant compromettre le chiffrement de bout en bout ou l'isolation entre comptes

Hors périmètre

  • Attaques par déni de service (DoS/DDoS)
  • Ingénierie sociale visant nos équipes ou nos utilisateurs
  • Rapports générés uniquement par un scanner automatisé, sans preuve d'exploitation
  • Failles nécessitant un accès physique à l'appareil d'un utilisateur

Délai de réponse visé

  • Accusé de réception — sous 3 jours ouvrés
  • Premier retour sur la validité/gravité — sous 10 jours ouvrés
  • Correction — délai variable selon la gravité, communiqué une fois la faille confirmée

Ce sont des objectifs, pas une garantie contractuelle (Encryvault n'a pas aujourd'hui de programme de récompense financière officiel — chaque signalement légitime est toutefois crédité publiquement si vous le souhaitez, une fois la faille corrigée).