Signaler une vulnérabilité

01Objet et périmètre

La sécurité des données des étudiants, des associations et des établissements est au cœur de toGaether. Si vous pensez avoir découvert une vulnérabilité, nous vous remercions de nous la signaler en privé, selon cette politique. Elle couvre :

• le site togaether.me et ses sous-domaines exploités par toGaether ;
• les applications mobiles toGaether (iOS et Android) ;
• les API publiques et partenaires de toGaether.

02Comment signaler

Écrivez à security@togaether.me, de préférence en français ou en anglais. Merci de ne pas utiliser les formulaires de contact, les réseaux sociaux ni les signalements publics.

Pour que nous puissions vérifier rapidement, indiquez si possible :

• Description : la nature de la vulnérabilité et le composant concerné (adresse, écran, point d'API) ;
• Étapes : la marche à suivre pour la reproduire, avec les requêtes ou captures utiles ;
• Impact : ce qu'un attaquant pourrait obtenir ou faire, selon vous ;
• Contact : comment vous joindre pour la suite, et la date de votre découverte.

N'envoyez pas de données personnelles de tiers dans votre signalement : si votre démonstration en a fait apparaître, décrivez-les sans les recopier.

03Nos engagements

• Accusé de réception sous 3 jours ouvrés ;
• Évaluation et correction : nous analysons le signalement, en évaluons la gravité et corrigeons dans des délais proportionnés au risque ;
• Information : nous vous tenons informé de l'avancement et vous prévenons lorsque la correction est en place.

04Règles d'une recherche de bonne foi

Pendant vos recherches, nous vous demandons de :

• n'utiliser que vos propres comptes, ou des comptes de test, et ne jamais agir sur les comptes ou les données d'autrui ;
• ne pas accéder à des données d'autrui au-delà de ce qui est strictement nécessaire pour démontrer la vulnérabilité, et vous arrêter dès que c'est le cas ;
• ne modifier ni supprimer aucune donnée, et ne pas dégrader le service ;
• supprimer toute donnée obtenue lors de la recherche une fois le signalement fait ;
• ne pas rendre la vulnérabilité publique avant sa correction, ou au plus tard 90 jours après votre signalement sans accord de notre part.

05Hors périmètre

Ne relèvent pas de cette politique, et ne doivent pas être testés :

• les attaques par déni de service, les tests de charge ou tout envoi massif de requêtes ;
• l'ingénierie sociale (hameçonnage, appels, usurpation) visant nos équipes, nos utilisateurs ou nos partenaires ;
• les tests sur les comptes ou les données d'autres utilisateurs, associations ou établissements ;
• les services de tiers que nous utilisons (paiement, hébergement, messagerie, mesure d'audience) : signalez-les directement à leur éditeur ;
• la sécurité physique de nos locaux et de nos équipements.

Une recherche hors de ces règles ou de ce périmètre n'est pas couverte par l'engagement de l'article 3.

06Nous écrire