Politique de sécurité

Nous prenons les signalements de sécurité au sérieux et souhaitons être informés de toute faiblesse que vous découvrez dans ACCE Investments. Cette page explique comment nous joindre et ce que vous pouvez attendre de nous.

Signaler une vulnérabilité

Écrivez-nous avec l'objet « Security report » à l'adresse [email protected]

Merci d'inclure :

  • L'URL, le point d'accès ou la fonctionnalité concernée
  • Les étapes pour reproduire le problème
  • L'impact observé : ce qu'un attaquant pourrait lire, modifier ou faire
  • Toute requête de preuve de concept ou capture d'écran

Nous nous efforçons d'accuser réception sous 5 jours ouvrés et de vous tenir informé jusqu'à la résolution du problème.

Programme de bug bounty

ACCE Investments ne propose pas de programme de bug bounty rémunéré. Nous ne payons pas les signalements et ne discutons d'aucune rémunération avant qu'une faille ait été divulguée et vérifiée. Avec votre accord, nous créditons volontiers publiquement les signalements valides.

Règles de test

  • Testez uniquement sur votre propre compte. N'accédez pas aux données d'autres utilisateurs, ne les modifiez pas et ne les supprimez pas.
  • N'effectuez pas de tests de déni de service, de charge ou de spam, ni de scans automatisés qui dégradent le service.
  • N'utilisez pas d'ingénierie sociale ni de phishing contre notre équipe ou nos utilisateurs.
  • Laissez-nous un délai raisonnable pour corriger un problème avant de le divulguer publiquement.

Hors périmètre

Les points suivants ne sont généralement pas considérés comme des vulnérabilités, sauf démonstration d'un impact réel :

  • La clé anon Supabase ou la clé publiable Stripe visible dans le code client. Les deux sont publiques par conception ; l'accès aux données est contrôlé côté serveur.
  • En-têtes de sécurité ou attributs de cookies manquants sans exploitation fonctionnelle
  • Configuration SPF, DKIM ou DMARC
  • Clickjacking sur des pages sans action sensible
  • Divulgation de versions logicielles
  • Limitation de débit sur des points d'accès non sensibles
  • Rapports de scanners automatisés sans problème vérifié et reproductible

Coordonnées au format machine : /.well-known/security.txt