Si vous pensez avoir trouvé un problème de sécurité dans 50heads, nous voulons le savoir, en privé et en premier. Cette page explique comment le signaler, ce qui est concerné, ce que vous pouvez attendre de nous et ce que nous vous demandons. C’est une politique de bonne foi, pas un contrat ni un conseil juridique. Vous trouverez plus de détails sur la protection de 50heads sur la page sécurité.

Comment signaler

Utilisez le formulaire de contact et choisissez Sécurité. Il crée un ticket que notre équipe voit. Nous ne publions pas de boîte mail de sécurité ; notre security.txt indique le même formulaire.

Écrivez en anglais si vous le pouvez, et indiquez :

  • ce que vous avez trouvé et où (l’adresse, l’écran ou le point d’accès) ;
  • les étapes pour le reproduire et ce que vous avez vu ;
  • ce que, selon vous, quelqu’un pourrait en faire ;
  • comment vous joindre, et le nom à citer si nous vous remercions.

Merci de ne pas mettre dans le formulaire de mots de passe, de clés, de données personnelles d’autres personnes ni de fichiers d’exploitation. Si vous devez envoyer quelque chose de sensible, dites-le et nous conviendrons d’un moyen de le recevoir.

Ce qui est concerné

  • 50heads.com, api.50heads.com, mcp.50heads.com et auth.50heads.com.
  • Les applications 50heads pour iOS et Android.
  • Les paquets que nous publions : @50heads/mcp et @50heads/cli.

Ce qui n’est pas concerné

  • Les tests de déni de service ou de charge, et tout ce qui dégrade le service pour d’autres.
  • L’ingénierie sociale, l’hameçonnage ou les attaques physiques contre le personnel, les heads ou les demandeurs.
  • Les signalements qui disent seulement qu’un en-tête de sécurité, un enregistrement DNS ou un réglage d’e-mail manque, sans moyen de l’exploiter.
  • Les failles dans des services dont nous dépendons, comme Stripe, Wise, Cloudflare ou Resend. Signalez-les au fournisseur.
  • Des comptes, des questions ou des données qui ne sont pas les vôtres.

Ce que nous vous demandons

  • Testez uniquement avec des comptes qui vous appartiennent et arrêtez dès que vous avez montré que le problème existe.
  • Ne lisez, ne modifiez, ne conservez et ne partagez pas les données d’autres personnes. Si vous en croisez, arrêtez, prévenez-nous et supprimez-les.
  • Ne perturbez pas le service et ne faites pas transiter d’argent réel par lui.
  • Laissez-nous un délai raisonnable pour corriger avant d’en parler à quelqu’un d’autre. Nous conviendrons d’une date avec vous et visons une correction rapide des problèmes graves.

Ce que vous pouvez attendre de nous

  • Nous répondons à chaque signalement.
  • Nous vous disons si nous pensons qu’il s’agit d’un vrai problème et vous tenons informé jusqu’à la correction.
  • Nous ne vous demandons rien à signer avant d’examiner votre signalement.
  • Si vous le souhaitez, nous vous remercions nommément sur la page sécurité une fois le problème corrigé.

Protection de bonne foi

Si vous suivez cette politique et agissez de bonne foi, nous n’engagerons pas de poursuites contre vous, et nous ne demanderons pas à la police de le faire, pour des recherches qui restent dans ce cadre. Nous le dirons à quiconque nous interroge sur votre signalement.

Nous ne pouvons pas parler pour les autres. Cette page n’engage pas un tiers dont vous avez touché les systèmes, un parquet ou une autorité de régulation, et elle ne vous autorise pas à enfreindre la loi. En cas de doute sur ce qui est permis, demandez-nous d’abord par le formulaire.

Pas encore de prime

Nous ne rémunérons pas les signalements pour le moment. Nous préférons le dire que vous le fassiez découvrir plus tard. Si cela change, ce sera d’abord indiqué sur cette page.