Politique de divulgation des vulnérabilités
Nous accueillons avec intérêt les signalements des chercheurs en sécurité et des utilisateurs qui découvrent une vulnérabilité dans Mailistix. La présente politique explique comment en signaler une, ce que vous pouvez et ne pouvez pas faire pendant vos recherches, et ce que vous pouvez attendre de notre part.
1. Périmètre
Dans le périmètre :
- l’application de bureau Mailistix pour macOS et Windows, dans sa dernière version publiée ;
- les Services cloud Mailistix exploités par nous, c’est-à-dire les fonctions serveur et les interfaces que l’application appelle ;
mailistix.comet ses sous-domaines exploités par nous.
Hors du périmètre :
- les services exploités par des tiers (par exemple Google, Microsoft, la plateforme propre de Supabase, Polar, Cloudflare, Sentry, PostHog). Signalez-les au prestataire concerné ;
- les constatations qui nécessitent un accès physique à un appareil déverrouillé, un appareil débridé (jailbreak ou accès root) ou un compte utilisateur du système d’exploitation déjà compromis ;
- les tests de déni de service, les tests de charge, le spam, l’ingénierie sociale et les attaques physiques ;
- les signalements issus de scanners automatisés sans impact démontré ; l’absence d’en-têtes recommandés par les bonnes pratiques sans exploitation concrète ; le self-XSS ; le clickjacking sur des pages ne comportant pas d’actions sensibles ; les observations relatives à la limitation de débit sans impact.
2. Comment effectuer un signalement
Écrivez à legal@mailistix.com avec un objet commençant par Security:, en anglais ou en allemand. Notre fichier security.txt indique le même contact. Veuillez inclure :
- le composant concerné (application de bureau avec système d’exploitation et version, ou point de terminaison) ;
- l’impact et les étapes, ou une preuve de concept, permettant de le reproduire ;
- si vous estimez que la vulnérabilité est en cours d’exploitation ;
- la manière dont nous pouvons vous contacter.
N’incluez pas les e-mails, mots de passe ou jetons d’autres personnes. Si votre signalement nécessite des éléments sensibles, dites-le-nous et nous conviendrons d’un moyen sécurisé de les partager.
3. Règles applicables aux recherches
Pendant vos recherches, vous devez :
- n’utiliser que des comptes et des boîtes aux lettres dont vous êtes propriétaire ou que vous êtes expressément autorisé à utiliser ;
- ne pas accéder à des données qui ne sont pas les vôtres, ni les copier, les modifier ou les supprimer ; si vous accédez à de telles données par accident, arrêtez, ne les conservez pas et informez-nous-en ;
- ne pas dégrader le service pour les autres (pas de déni de service, pas d’automatisation massive, pas de force brute contre les comptes d’autres utilisateurs) ;
- ne pas utiliser les Fonctionnalités d’IA pour extraire les données d’autres utilisateurs ou pour attaquer des tiers ;
- ne pas exploiter une constatation au-delà de ce qui est nécessaire pour la démontrer ;
- nous laisser un délai raisonnable pour corriger le problème avant de le divulguer (nous suggérons 90 jours, ou plus tôt d’un commun accord), et coordonner la publication avec nous.
4. Protection juridique (« safe harbor »)
Si vous agissez de bonne foi et respectez la présente politique, nous considérerons vos recherches comme autorisées, nous n’engagerons aucune action civile contre vous et ne déposerons aucune plainte auprès des autorités répressives à ce titre, et nous n’invoquerons pas contre vous, pour ces recherches, les clauses de nos Conditions ou du Contrat de licence du logiciel interdisant le contournement ou la rétro-ingénierie. Si un tiers engage une action en justice contre vous pour des recherches conformes à la présente politique, nous ferons savoir que vos actes avaient reçu notre autorisation. Cette protection ne couvre pas les activités qui enfreignent la loi, et nous ne pouvons pas autoriser des tests portant sur les systèmes de tiers.
5. Ce que vous pouvez attendre de nous
- Nous accusons réception de votre signalement dans un délai de 5 jours ouvrés.
- Nous vous tenons informé de notre évaluation et de la correction.
- Nous vous citons dans nos notes de version si vous le souhaitez.
- Nous ne communiquons pas votre identité à des tiers sans votre consentement, sauf si la loi l’exige.
- Si la vulnérabilité se situe dans un composant d’un tiers, nous pouvons transmettre les détails techniques à ce tiers afin qu’il puisse la corriger.
- Lorsque la loi l’exige, notamment l’article 14 du règlement de l’UE sur la cyberrésilience (règlement (UE) 2024/2847), nous signalons les vulnérabilités activement exploitées aux autorités compétentes (le CSIRT coordinateur et l’ENISA).
- Nous n’utilisons les données à caractère personnel figurant dans votre signalement que pour traiter le signalement et la correction, comme décrit dans notre Politique de confidentialité.
- Nous ne proposons actuellement aucun programme rémunéré de primes aux bogues (« bug bounty »).
6. Incidents de sécurité affectant vos données
Si vous êtes un utilisateur de Mailistix et pensez que votre compte ou vos données ont été compromis, contactez immédiatement legal@mailistix.com. La manière dont nous traitons les violations de données à caractère personnel est décrite dans notre Politique de confidentialité.