RESPONSIBLE DISCLOSURE

Politique de divulgation des vulnérabilités

Sextant (sextantquant.com) — version 1.1, en vigueur depuis le 28 septembre 2026 (version 1.0 : 4 mai 2026).

En bref : si vous découvrez une vulnérabilité de sécurité affectant Sextant, contactez-nous à [email protected] (PGP optionnel sur demande). Nous accusons réception sous 72 h, investiguons, et coordonnons une publication conjointe sous 90 jours maximum. Pas de récompense monétaire à ce stade, mais reconnaissance publique systématique pour les rapports valides.

1. Scope

Dans le scope

https://www.sextantquant.com et https://sextantquant.com (frontend, pages publiques, dashboard authentifié)
https://api.sextantquant.com (API : formulaire de demande d'audit, inscription depuis le Miroir, paiement)

Hors scope

Services tiers que nous utilisons mais ne contrôlons pas (Stripe, Cloudflare, OVH, Vercel, Google, Microsoft). Adressez-vous à leur équipe sécurité.
Vulnérabilités théoriques sans preuve d'exploitation (ex. simple sortie d'un scanner automatique, headers manquants sans impact démontré)
Brute-force ou attaques par déni de service applicatives (rate-limiting déjà en place)
Self-XSS nécessitant la coopération active de la victime
Phishing et ingénierie sociale
Vulnérabilités sur des navigateurs / OS hors support (IE 11, Android < 9, etc.)
Absence de SPF/DKIM/DMARC sur sous-domaines non utilisés pour l'envoi d'email

2. Règles d'engagement

N'accédez qu'à vos propres données. Si une vulnérabilité permet l'accès aux données d'autres utilisateurs, arrêtez immédiatement et rapportez le problème — n'exfiltrez pas.
Pas de modification ni de destruction. Pas de DROP TABLE, pas de POST de spam, pas de suppression d'autres comptes.
Pas de DoS/DDoS, pas de fuzzing à haut débit qui dégraderait le service.
Pas de publication avant coordination. Nous nous engageons à un dialogue transparent ; en retour, n'annoncez pas la vulnérabilité publiquement avant qu'un correctif ne soit déployé ou que 90 jours se soient écoulés (selon la première éventualité).
Bonne foi présumée. Nous n'engagerons aucune poursuite contre un chercheur qui respecte ces règles de bonne foi. Cet engagement n'engage que nous : il ne peut écarter ni la loi pénale ni les droits d'un tiers.

3. Comment rapporter

Envoyez votre rapport à [email protected]. Demandez notre clé PGP si vous souhaitez chiffrer le rapport.

Format recommandé

Sujet : [VULN] <catégorie OWASP> — <résumé en 6 mots>

1. Catégorie (XSS, IDOR, SSRF, RCE, auth bypass, etc.)
2. URL / endpoint affecté
3. Étapes de reproduction (numérotées, copiables)
4. Impact (qu'est-ce qu'un attaquant peut faire concrètement ?)
5. Proof of concept (capture, vidéo, payload — sans exfiltrer)
6. Suggestion de correction (optionnel)
7. Votre handle public si vous souhaitez être crédité

4. Notre engagement de réponse

Étape	Délai cible
Accusé de réception	72 heures (jours ouvrés FR)
Triage initial + sévérité	5 jours ouvrés
Plan de correction communiqué	2 semaines
Embargo maximal avant publication	90 jours (négociable si correctif complexe)
Publication coordonnée + crédit	après déploiement du correctif

5. Reconnaissance

Sextant ne propose pas de récompense monétaire. En revanche, tout rapport valide donne lieu à :

Un remerciement public, si vous le souhaitez
Mention dans le changelog et le post de divulgation
Lettre de remerciement signée pour votre portfolio

6. Safe harbor

Nous nous engageons à ne pas engager de poursuites légales contre les chercheurs en sécurité qui :

respectent cette politique en bonne foi,
se limitent à des techniques de test non destructives,
n'accèdent qu'aux données strictement nécessaires à la démonstration,
nous laissent un délai raisonnable pour corriger avant publication.

Si vous avez le moindre doute sur la portée de cette protection, contactez-nous avant votre test à [email protected].

7. Fichier security.txt

Cette politique est annoncée via le standard RFC 9116 à l'adresse /.well-known/security.txt.