diff --git a/CONTRIBUTING.fr.md b/CONTRIBUTING.fr.md
index fccfc6e..1d22b2c 100644
--- a/CONTRIBUTING.fr.md
+++ b/CONTRIBUTING.fr.md
@@ -35,6 +35,13 @@ Si vous touchez à Docker ou à nginx, lancez `docker compose up -d --build` pui
 - Pas de nouvelle dépendance lourde (framework, bibliothèque d'interface, service externe) sans en avoir discuté dans une issue.
 - La promesse du README tient : pas de publicité, et aucune mesure d'audience activée par défaut sur une instance auto-hébergée.
 
-## Licence
+## Licence des contributions
 
-Parenthèse est publié sous [PolyForm Noncommercial 1.0.0](LICENSE). En proposant une contribution, vous acceptez qu'elle soit publiée sous cette même licence.
+Parenthèse est publié sous [PolyForm Noncommercial 1.0.0](LICENSE) et le reste.
+
+En ouvrant une pull request, vous
+
+- certifiez avoir écrit la contribution ou avoir le droit de la proposer, dans l'esprit du [Developer Certificate of Origin](https://developercertificate.org/). Signez vos commits avec `git commit -s`, qui ajoute une ligne `Signed-off-by` ;
+- accordez au mainteneur, Ilies Allali, une licence perpétuelle, irrévocable, mondiale et gratuite pour utiliser, modifier et proposer votre contribution sous d'autres licences, y compris commerciales.
+
+Si vous ne pouvez pas l'accepter, dites-le dans la pull request avant sa fusion.
diff --git a/CONTRIBUTING.md b/CONTRIBUTING.md
index 3f5d3b2..178d919 100644
--- a/CONTRIBUTING.md
+++ b/CONTRIBUTING.md
@@ -35,6 +35,13 @@ If you touch Docker or nginx, run `docker compose up -d --build` then `bash tool
 - No new heavy dependency (framework, UI library, external service) without discussing it in an issue.
 - The README promise holds: no ads, and no analytics turned on by default on a self-hosted instance.
 
-## License
+## License of contributions
 
-Parenthèse is published under [PolyForm Noncommercial 1.0.0](LICENSE). By submitting a contribution, you agree that it is published under the same license.
+Parenthèse is published under [PolyForm Noncommercial 1.0.0](LICENSE), and stays under it.
+
+By opening a pull request, you:
+
+- certify that you wrote the contribution or otherwise have the right to submit it, in the spirit of the [Developer Certificate of Origin](https://developercertificate.org/). Sign your commits with `git commit -s`, which adds a `Signed-off-by:` line;
+- grant the maintainer, Ilies Allali, a perpetual, irrevocable, worldwide, royalty-free license to use, modify and relicense your contribution under any terms, including commercial ones.
+
+If you can't agree to this, say so in the pull request before it is merged.
diff --git a/SECURITY.fr.md b/SECURITY.fr.md
index a84559e..574f895 100644
--- a/SECURITY.fr.md
+++ b/SECURITY.fr.md
@@ -6,10 +6,7 @@
 
 Ne décrivez jamais une faille dans une issue, une discussion ou une pull request : tout y est public.
 
-Deux canaux privés :
-
-- l'onglet **Security** de ce dépôt GitHub, bouton « Report a vulnerability » ;
-- un email à pro.allali.ilies@gmail.com.
+Passez de préférence par le signalement privé de GitHub, dans l'onglet **Security** de ce dépôt, bouton « Report a vulnerability ». Si vous ne pouvez pas l'utiliser, écrivez à pro.allali.ilies@gmail.com.
 
 Indiquez si possible ce qui est touché (adresse, route de l'API, fichier), les étapes pour reproduire et l'impact que vous constatez. Un rapport court et précis suffit.
 
diff --git a/SECURITY.md b/SECURITY.md
index f0194a2..827ccc8 100644
--- a/SECURITY.md
+++ b/SECURITY.md
@@ -6,10 +6,7 @@
 
 Never describe a vulnerability in an issue, a discussion or a pull request: everything there is public.
 
-Two private channels:
-
-- the **Security** tab of this GitHub repository, "Report a vulnerability" button;
-- an email to pro.allali.ilies@gmail.com.
+Report it preferably through GitHub's private vulnerability reporting: the **Security** tab of this repository, "Report a vulnerability" button. If you can't use it, send an email to pro.allali.ilies@gmail.com.
 
 If you can, say what is affected (address, API route, file), the steps to reproduce and the impact you observe. A short, precise report is enough. English or French, as you prefer.