Signaler des vulnérabilités de sécurité

Si vous découvrez une vulnérabilité de sécurité dans Adkumo, veuillez nous la signaler de manière responsable :

Délai de réponse : Nous nous efforçons d'accuser réception des signalements de sécurité dans les 48 heures.

Que faut-il inclure dans votre rapport

• Description de la vulnérabilité
• Étapes pour reproduire le problème
• Impact potentiel et évaluation de la gravité
• Code de preuve de concept (le cas échéant)
• Vos coordonnées pour le suivi

Portée

Dans le périmètre

• Contournement de l'authentification et de l'autorisation
• Exposition ou fuite de données (PII, données de marque, campagnes)
• Injection SQL, XSS, CSRF et autres attaques par injection
• Problèmes de sécurité API et contrôles d'accès défaillants
• Vulnérabilités d'infrastructure (si identifiées)
• Références d'objets directes non sécurisées (IDOR)
• Server-Side Request Forgery (SSRF)

Hors du périmètre

• Attaques d'ingénierie sociale contre notre équipe ou nos utilisateurs
• Attaques par déni de service (DoS/DDoS)
• Problèmes de sécurité physique
• Problèmes nécessitant une interaction utilisateur improbable
• Problèmes de spam ou de qualité du contenu
• Vulnérabilités dans des services tiers que nous ne contrôlons pas

Politique de protection

Nous considérons la recherche en sécurité menée de bonne foi comme des tests autorisés. Nous n'engagerons pas de poursuites judiciaires contre les chercheurs qui :

• Signalent les vulnérabilités de manière privée et responsable
• Évitent la destruction de données, les violations de la vie privée ou les interruptions de service
• N'exploitent pas les découvertes au-delà de ce qui est nécessaire pour démontrer le problème
• Font un effort de bonne foi pour se conformer à cette politique

Reconnaissance

Nous apprécions les chercheurs en sécurité qui contribuent à la sécurité de Adkumo. Avec votre permission, nous :

• Reconnaîtrons publiquement votre contribution (sauf si vous préférez l'anonymat)
• Fournirons des mises à jour sur l'avancement des corrections
• Travaillerons avec vous pour comprendre et corriger la vulnérabilité

Nos mesures de sécurité

Nous mettons en œuvre plusieurs niveaux de sécurité pour protéger vos données :

Chiffrement des données

• En transit : Chiffrement TLS 1.3 pour toutes les transmissions de données
• Au repos : Chiffrement AES-256 pour les données stockées
• Mots de passe : Hachage bcrypt avec sel

Authentification et contrôle d'accès

• Authentification sécurisée via Supabase Auth
• Politiques de sécurité au niveau des lignes (RLS) sur toutes les tables
• Contrôle d'accès basé sur les rôles (RBAC)
• Gestion de session avec des jetons sécurisés

Sécurité de l'infrastructure

• Hébergement sur une infrastructure sécurisée et conforme au RGPD
• Mises à jour de sécurité et correctifs réguliers
• Pare-feu et segmentation réseau
• Protection DDoS

Sécurité de l'application

• Validation et nettoyage des entrées
• Protection contre les attaques XSS, CSRF et par injection
• Conception d'API sécurisée avec limitation de débit
• Audits de sécurité réguliers et revues de code

Protection des données

• Localisation des données : Infrastructure basée dans l'UE (conforme au RGPD)
• Sauvegardes : Sauvegardes chiffrées régulières avec rétention sécurisée
• Journaux d'accès : Journalisation et surveillance complètes
• Sous-traitants : Services tiers vérifiés avec accords de traitement des données

Services tiers

Nous nous appuyons sur des fournisseurs de services fiables et axés sur la sécurité :

• Supabase : Base de données, authentification et stockage (infrastructure UE)
• Google AI : Intégration directe avec l'API Gemini pour le traitement IA

Tous les sous-traitants sont conformes au RGPD et opèrent sous des accords de traitement des données.

Réponse aux incidents

En cas d'incident de sécurité, nous :

1. Enquêterons immédiatement et contiendrons l'incident
2. Évaluerons l'impact et les utilisateurs affectés
3. Notifierons les utilisateurs concernés dans les 72 heures (exigence RGPD)
4. Travaillerons à la correction de la vulnérabilité
5. Effectuerons un examen post-incident pour prévenir les récurrences

Conformité et certifications

• RGPD : Conformité totale avec la réglementation européenne sur la protection des données
• SOC 2 : En cours (prévu pour 2026)
• ISO 27001 : Objectif de certification futur

Bonnes pratiques de sécurité pour les utilisateurs

Aidez-nous à protéger votre compte :

• Utilisez un mot de passe fort et unique
• Activez l'authentification à deux facteurs (lorsque disponible)
• Ne partagez pas vos identifiants
• Vérifiez régulièrement l'activité de votre compte
• Signalez immédiatement toute activité suspecte
• Protégez votre adresse e-mail (utilisée pour la réinitialisation du mot de passe)

Politiques associées

• Politique de confidentialité
• Conditions d'utilisation
• Impressum