1. Signaler une faille
Si vous découvrez une vulnérabilité de sécurité, écrivez-nous à security@aukilo.com (ou à contact@aukilo.com avec « [SECURITY] » en objet).
Nous accusons réception sous 72 heures ouvrées et vous tenons informé·e du suivi.
Pour accélérer le triage, indiquez si possible :
- une description claire de la faille et de son impact ;
- les étapes pour la reproduire ;
- la version de l'app ou l'URL concernée ;
- votre pseudonyme si vous souhaitez être crédité·e.
2. Périmètre
Cette politique couvre :
- le site web et les sous-domaines de aukilo.com, dont l’app web app.aukilo.com ;
- l'application mobile Aukilo (iOS et Android) ;
- les Edge Functions Supabase déployées sous le projet officiel.
3. Hors périmètre
Les éléments suivants ne sont pas couverts et ne donnent pas lieu à divulgation responsable :
- attaques par déni de service (DOS / DDoS) ;
- phishing et ingénierie sociale contre l'équipe ou les utilisateurs ;
- scraping massif ou tentatives de contournement de quotas ;
- vulnérabilités déjà connues ou en cours de correction ;
- services tiers (Vercel, Supabase, Firebase, Google) — à signaler directement à l'éditeur concerné ;
- anciens emails ou domaines parqués sans usage.
4. Notre engagement
Si vous respectez les règles de cette politique :
- nous ne lancerons pas de poursuite légale à votre encontre ;
- nous travaillerons avec vous pour confirmer et corriger la faille ;
- nous vous créditerons publiquement (avec votre accord) une fois le correctif déployé ;
- nous publierons, si pertinent, un post-mortem anonyme pour informer la communauté.
Aukilo n'opère pas (encore) de programme de bug bounty rémunéré. Les remerciements sont symboliques.
5. Règles à respecter
Pour bénéficier de notre engagement, merci de :
- ne pas accéder ni modifier de données utilisateurs sans leur accord ;
- ne pas dégrader le service ni interrompre son fonctionnement ;
- ne pas divulguer publiquement la faille avant que nous ayons corrigé ;
- ne pas exploiter la faille au-delà de la preuve de concept minimale.
6. Données utilisateurs
Aukilo traite des données personnelles conformément au RGPD et à notre politique de confidentialité. Si une faille expose des données personnelles, nous appliquerons les obligations de notification prévues par la réglementation (CNIL, utilisateurs concernés).
7. Contact
Pour toute question sur cette politique : security@aukilo.com.
Clé PGP disponible sur demande pour les rapports sensibles.