Politique de divulgation des vulnérabilités

Dernière mise à jour : 15 octobre 2026

Si vous avez trouvé une faille de sécurité dans Meet Aaron, nous voulons le savoir. Ce document explique comment nous la signaler, ce que nous nous engageons à faire, et ce que nous vous demandons de ne pas faire.

Meet Aaron est édité par une seule personne. Vous n'aurez pas affaire à un service de triage : votre rapport sera lu par celui qui écrit le code.

1. Comment signaler

Envoyez votre rapport à aaron@meetaaron.app, avec « VULNERABILITY » en objet. C'est le seul canal de signalement ; n'utilisez ni les réseaux sociaux, ni les formulaires de support, ni les dépôts publics.

Un rapport utile contient :

• l'adresse ou l'endroit exact concerné (URL, point d'accès, écran) ;
• la nature de la faille et ce qu'elle permet concrètement ;
• les étapes pour la reproduire, dans l'ordre ;
• la date et l'heure de vos essais, pour que nous puissions les retrouver dans nos journaux ;
• si possible, une capture d'écran ou un enregistrement.

Écrivez en anglais ou en français. Vous pouvez signaler de façon anonyme, mais nous ne pourrons alors ni vous tenir informé, ni vous créditer.

2. Périmètre

Dans le périmètre :

• https://meetaaron.app et tous ses sous-chemins ;
• les points d'accès de programmation de l'application (/api/...) ;
• les applications mobiles Meet Aaron pour Android et iOS, qui sont des coques affichant cette même application web ;
• les mécanismes d'authentification, de session et d'autorisation ;
• la connexion aux boîtes mail et aux agendas, et le traitement des jetons d'accès.

Hors périmètre :

• l'infrastructure de nos prestataires — Vercel, Supabase, Stripe, Google, Microsoft, Anthropic, OpenAI. Signalez-leur directement, via leurs propres programmes ;
• les sites et services tiers qui se contentent de mentionner Meet Aaron ;
• les comptes, boîtes mail et données de nos utilisateurs. Ils ne font jamais partie du périmètre, quel que soit le moyen d'y accéder.

3. Nos engagements

Accusé de réception sous 3 jours ouvrés. Un humain vous répond, pas un automate.

Qualification sous 10 jours ouvrés. Nous vous disons si la faille est confirmée, le niveau de gravité retenu, et le délai de correction envisagé.

Correction. Faille critique : sous 7 jours. Élevée : sous 30 jours. Modérée ou faible : dans le cycle de développement ordinaire. Ces délais suivent la classification de notre politique de réponse aux incidents.

Information. Nous vous prévenons quand le correctif est en ligne, et nous vous laissons le vérifier.

Crédit. Si vous le souhaitez, nous citons publiquement votre nom ou votre pseudonyme parmi les personnes ayant contribué à la sécurité de Meet Aaron. Si vous préférez rester anonyme, nous respectons ce choix.

4. Ce que nous vous demandons

Pour que votre recherche reste couverte par l'engagement de la section 5, elle doit respecter les règles suivantes :

• Utilisez votre propre compte. Créez un compte d'essai gratuit pour vos tests. N'accédez jamais au compte, à la boîte mail, à l'agenda ou aux données d'un autre utilisateur, même si une faille vous le permet.
• Arrêtez-vous à la preuve. Dès que vous avez établi qu'une faille existe, cessez. Ne l'exploitez pas plus loin, n'élargissez pas l'accès, n'installez rien.
• N'extrayez aucune donnée. Si une faille expose des données qui ne sont pas les vôtres, ne les téléchargez pas, ne les conservez pas, ne les partagez pas. Décrivez-nous ce que vous avez vu, cela suffit.
• Ne dégradez pas le service. Pas de déni de service, pas de test de charge, pas d'envoi massif de messages, pas d'outil automatisé lancé à pleine vitesse sur le site.
• Ne modifiez ni ne supprimez rien en dehors de votre propre compte d'essai.
• Pas d'ingénierie sociale. Ni hameçonnage, ni appel ou message à l'éditeur, à ses utilisateurs ou à ses prestataires en vous faisant passer pour quelqu'un d'autre. Pas d'accès physique.
• Laissez-nous le temps de corriger avant toute publication, selon la section 7.

5. Engagement de non-poursuite

Si votre recherche respecte les règles de la section 4, nous nous engageons à :

• ne pas engager d'action en justice ni déposer de plainte contre vous à raison de cette recherche ;
• ne pas signaler votre activité aux autorités ni à vos employeurs ;
• considérer votre accès comme autorisé par nous, au sens des législations sur l'accès non autorisé à un système informatique, pour les actions couvertes par cette politique.

Cet engagement est limité à ce que nous pouvons engager, c'est-à-dire à nos propres droits. Il ne vous couvre pas vis-à-vis de tiers — nos prestataires d'hébergement, nos utilisateurs — et il ne s'applique pas si vous sortez des règles de la section 4.

Si vous avez un doute sur le caractère autorisé d'un test, écrivez-nous avant de le mener. Nous répondons.

6. Ce que nous ne traiterons pas comme une vulnérabilité

Les éléments suivants sont écartés sauf démonstration d'un impact réel, et nous le disons d'avance pour vous épargner le travail :

• les en-têtes de sécurité manquants ou perfectibles, sans voie d'exploitation démontrée ;
• les résultats bruts de scanner automatique, sans analyse ni preuve ;
• l'absence de limitation de débit, sans conséquence démontrée ;
• les versions de bibliothèques signalées comme vulnérables, sans démonstration que la faille est atteignable dans notre application ;
• l'auto-XSS, c'est-à-dire l'injection d'un script dans sa propre session ;
• le détournement de clic (clickjacking) sur des pages sans action sensible ;
• les énumérations d'utilisateurs qui n'exposent rien de plus que l'existence d'une adresse ;
• les configurations SPF, DKIM ou DMARC de domaines qui n'envoient pas de courrier ;
• l'absence de certaines protections de certificat ou de cookie, sans impact démontré ;
• les faiblesses qui supposent un appareil compromis, un accès physique, ou une version de navigateur non maintenue ;
• les questions de confidentialité ou de conformité qui ne sont pas des failles techniques : elles sont bienvenues, mais passent par notre politique de confidentialité.

7. Divulgation coordonnée

Nous vous demandons de ne rien publier avant que le correctif ne soit en ligne, ou pendant 90 jours à compter de votre signalement, la première de ces deux échéances s'appliquant.

Si nous dépassons ce délai sans vous avoir donné d'explication, vous êtes libre de publier. Si nous avons besoin de plus de temps pour une raison précise, nous vous le disons et nous en convenons avec vous — nous ne nous servirons pas de ce délai pour enterrer un rapport.

Lors de votre publication, nous vous demandons de ne faire figurer aucune donnée d'utilisateur, même anonymisée.

8. Pas de prime

Meet Aaron ne verse pas de récompense financière. Nous préférons le dire clairement plutôt que de laisser l'espoir d'une prime : l'éditeur est une entreprise individuelle, et un programme de primes dépasse ses moyens actuels.

Ce que nous offrons en échange de votre temps : une réponse rapide et écrite par la personne qui corrigera la faille, un crédit public si vous le souhaitez, et l'engagement de la section 5. Si cela change un jour, cette page sera mise à jour.

9. Contact

Signalement de vulnérabilité : aaron@meetaaron.app, objet « VULNERABILITY ».

Incident de sécurité en cours : voir notre politique de réponse aux incidents.

Mesures de sécurité en place : voir notre politique de sécurité de l'information.

Voir aussi notre politique de confidentialité et nos conditions d'utilisation. En cas de divergence entre les versions, la version anglaise prévaut.