Signaler un problème de sécurité

Si vous trouvez une faiblesse dans le logiciel d'AiSSAY ou sur ce site web, dites-le-nous d'abord en privé. Nous préférons l'apprendre de vous plutôt que de la découvrir plus tard.

Comment signaler

Écrivez à hello@aissay.io en indiquant « Security report » dans l'objet.

Merci d'indiquer :

• ce que vous avez trouvé, et où : le module, la commande ou la page ;
• les étapes pour le reproduire, et la version que vous avez testée (le fichier VERSION de la version publiée) ;
• ce qu'un attaquant pourrait en faire ;
• comment vous souhaitez être crédité, si vous le souhaitez.

Nos engagements

• Nous accusons réception de votre signalement sous cinq jours ouvrés.
• Nous vous disons si nous parvenons à le reproduire, et quelle gravité nous lui attribuons.
• Nous vous répondons honnêtement sur la question de savoir si et quand il sera corrigé, y compris « pas de sitôt » si c'est le cas.
• Nous vous citons dans les notes de correctif si vous souhaitez être crédité.
• Il n'y a pas de programme de bug bounty. Nous ne rémunérons pas les signalements.

Divulgation

Nous vous demandons d'attendre 90 jours à compter de votre signalement avant de publier, ou moins si un correctif est livré plus tôt. S'il nous faut plus de temps, nous vous dirons pourquoi et vous le demanderons. Quand un correctif est livré, nous indiquons dans les notes de version ce qui n'allait pas.

Recherche de bonne foi

Si vous suivez cette politique, ne testez que votre propre installation et vous arrêtez une fois le problème démontré, nous ne traiterons pas votre recherche comme une attaque et ne demanderons à personne d'agir contre vous pour cela.

Dans le périmètre

• Le logiciel AiSSAY : le stockage des preuves, le proxy d'enregistrement, le serveur MCP, l'extension de navigateur et son hôte natif, les reçus et leur vérificateur.
• Ce site web, aissay.io.

Hors périmètre

• Les tests sur un stockage contenant les enregistrements réels de quelqu'un d'autre. Utilisez votre propre installation et des données fictives.
• Les tests de déni de service, l'ingénierie sociale et les attaques physiques.
• Les systèmes que nous n'exploitons pas : votre fournisseur d'IA, votre gestionnaire de clés, votre hébergement.

Ce que nous disons déjà de nos limites

Nous publions ce que notre logiciel ne fait pas encore : les pages sur les référentiels de conformité nomment chaque lacune, et la synthèse sur la conformité et la gouvernance liste ce qui est construit, ce qui n'est qu'un point d'intégration et ce qui manque. Aucune entreprise extérieure n'a encore testé ce logiciel. Un signalement de votre part sera le premier regard indépendant qu'il reçoit.