Politique de sécurité et signalement de vulnérabilités

Envoyez votre rapport par e-mail. Chiffrez-le avec notre clé PGP publique dès qu'il contient des détails techniques ou une preuve de concept.

Contact

[email protected]

Clé PGP publique

/.well-known/pgp-key.txt

Empreinte

3C11 0D26 D95B A699 3DA0 FEF4 E8C7 6A2C 9D88 DB15

Identifiant de clé

E8C76A2C9D88DB15

Algorithme

RSA 4096

Validité

2026-10-07 → 2028-10-06

security.txt

/.well-known/security.txt (RFC 9116, signé)

Importez la clé, vérifiez que l'empreinte affichée par votre outil correspond à celle de cette page, puis chiffrez votre rapport pour le destinataire ci-dessous. Ne faites pas confiance à une clé dont l'empreinte diffère.

curl -O https://dqmj1.wiki/.well-known/pgp-key.txt
gpg --import pgp-key.txt
gpg --fingerprint [email protected]
gpg --armor --encrypt --recipient [email protected] report.txt

Joignez ou collez le fichier report.txt.asc obtenu dans votre message, et ajoutez votre propre clé publique afin que nous puissions répondre de façon chiffrée. Nous répondons depuis la même adresse.

• L'URL, le point d'accès ou le composant concerné.
• Une description de la vulnérabilité et de son impact potentiel.
• Des étapes claires pour la reproduire, avec une preuve de concept minimale.
• Votre nom ou pseudonyme si vous souhaitez être crédité (facultatif).

Dans le périmètre

• Le site dqmj1.wiki et les sous-domaines que nous exploitons.
• L'API REST publique sous /api/v1 et les widgets intégrables sous /embed.
• Le code open source publié sur GitHub par ce projet.

Hors périmètre

• Déni de service, tests de charge ou de stress, et analyses automatisées à fort volume.
• Ingénierie sociale, hameçonnage et attaques physiques.
• Les vulnérabilités des services tiers que nous utilisons (Cloudflare, Resend, Google, GitHub) : signalez-les à l'éditeur concerné.
• Les en-têtes ou réglages de bonnes pratiques absents sans impact de sécurité démontré.
• Les résultats bruts d'outils d'analyse automatique non vérifiés.

Les questions de droit d'auteur ou de marque ne relèvent pas de la sécurité : écrivez plutôt à [email protected].

• Nous accusons réception de votre rapport sous 5 jours ouvrés.
• Nous vous donnons une première évaluation sous 10 jours ouvrés et vous tenons informé de l'avancement.
• Nous corrigeons les vulnérabilités confirmées aussi vite que leur gravité l'exige.
• Nous demandons une divulgation coordonnée : merci de laisser jusqu'à 90 jours après votre rapport, ou jusqu'à la publication d'un correctif, avant toute divulgation publique.
• Nous vous citons dans les remerciements ci-dessous, sauf si vous préférez rester anonyme.

Nous considérons comme autorisée toute recherche de sécurité menée de bonne foi et conformément à cette politique, et nous n'engagerons pas d'action en justice contre les chercheurs qui :

• font de leur mieux, de bonne foi, pour éviter les atteintes à la vie privée, la destruction de données et l'interruption du service ;
• cessent leurs tests et signalent immédiatement tout accès à des données non publiques ;
• n'exploitent pas une vulnérabilité au-delà de ce qui est nécessaire pour la démontrer ;
• gardent les détails confidentiels jusqu'à la publication d'un correctif ou la fin du délai de divulgation.

Cette politique n'autorise pas les tests de services tiers et ne constitue pas une renonciation aux droits de ces tiers.

Ce projet est gratuit et non commercial : nous n'avons pas de programme de primes. Les signalements valides sont crédités publiquement, avec votre accord.

Le site n'a ni compte utilisateur, ni connexion, ni formulaire qui enregistre des données personnelles. L'API REST est publique et en lecture seule. Le site est servi en HTTPS via Cloudflare et refuse d'être intégré dans des cadres en dehors des widgets /embed.

Aucun signalement de vulnérabilité n'a été reçu pour l'instant. Merci à toutes les personnes qui aident à protéger ce projet.