Contribuer : licence des contributions (DCO, licence au mainteneur) ; Sécurité : signalement privé GitHub d'abord

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CONTRIBUTING.fr.md

@@ -35,6 +35,13 @@ Si vous touchez à Docker ou à nginx, lancez `docker compose up -d --build` pui
 - Pas de nouvelle dépendance lourde (framework, bibliothèque d'interface, service externe) sans en avoir discuté dans une issue.
 - La promesse du README tient : pas de publicité, et aucune mesure d'audience activée par défaut sur une instance auto-hébergée.
 
-## Licence
+## Licence des contributions
 
-Parenthèse est publié sous [PolyForm Noncommercial 1.0.0](LICENSE). En proposant une contribution, vous acceptez qu'elle soit publiée sous cette même licence.
+Parenthèse est publié sous [PolyForm Noncommercial 1.0.0](LICENSE) et le reste.
+
+En ouvrant une pull request, vous
+
+- certifiez avoir écrit la contribution ou avoir le droit de la proposer, dans l'esprit du [Developer Certificate of Origin](https://developercertificate.org/). Signez vos commits avec `git commit -s`, qui ajoute une ligne `Signed-off-by` ;
+- accordez au mainteneur, Ilies Allali, une licence perpétuelle, irrévocable, mondiale et gratuite pour utiliser, modifier et proposer votre contribution sous d'autres licences, y compris commerciales.
+
+Si vous ne pouvez pas l'accepter, dites-le dans la pull request avant sa fusion.

CONTRIBUTING.md

@@ -35,6 +35,13 @@ If you touch Docker or nginx, run `docker compose up -d --build` then `bash tool
 - No new heavy dependency (framework, UI library, external service) without discussing it in an issue.
 - The README promise holds: no ads, and no analytics turned on by default on a self-hosted instance.
 
-## License
+## License of contributions
 
-Parenthèse is published under [PolyForm Noncommercial 1.0.0](LICENSE). By submitting a contribution, you agree that it is published under the same license.
+Parenthèse is published under [PolyForm Noncommercial 1.0.0](LICENSE), and stays under it.
+
+By opening a pull request, you:
+
+- certify that you wrote the contribution or otherwise have the right to submit it, in the spirit of the [Developer Certificate of Origin](https://developercertificate.org/). Sign your commits with `git commit -s`, which adds a `Signed-off-by:` line;
+- grant the maintainer, Ilies Allali, a perpetual, irrevocable, worldwide, royalty-free license to use, modify and relicense your contribution under any terms, including commercial ones.
+
+If you can't agree to this, say so in the pull request before it is merged.

SECURITY.fr.md

@@ -6,10 +6,7 @@
 
 Ne décrivez jamais une faille dans une issue, une discussion ou une pull request : tout y est public.
 
-Deux canaux privés :
+Passez de préférence par le signalement privé de GitHub, dans l'onglet **Security** de ce dépôt, bouton « Report a vulnerability ». Si vous ne pouvez pas l'utiliser, écrivez à pro.allali.ilies@gmail.com.
-
-- l'onglet **Security** de ce dépôt GitHub, bouton « Report a vulnerability » ;
-- un email à pro.allali.ilies@gmail.com.
 
 Indiquez si possible ce qui est touché (adresse, route de l'API, fichier), les étapes pour reproduire et l'impact que vous constatez. Un rapport court et précis suffit.
 

SECURITY.md

@@ -6,10 +6,7 @@
 
 Never describe a vulnerability in an issue, a discussion or a pull request: everything there is public.
 
-Two private channels:
+Report it preferably through GitHub's private vulnerability reporting: the **Security** tab of this repository, "Report a vulnerability" button. If you can't use it, send an email to pro.allali.ilies@gmail.com.
-
-- the **Security** tab of this GitHub repository, "Report a vulnerability" button;
-- an email to pro.allali.ilies@gmail.com.
 
 If you can, say what is affected (address, API route, file), the steps to reproduce and the impact you observe. A short, precise report is enough. English or French, as you prefer.