mirror of
https://github.com/IliesAllali/parenthese.git
synced 2026-11-06 23:32:08 +00:00
27 lines
1.5 KiB
Markdown
27 lines
1.5 KiB
Markdown
# Sécurité
|
|
|
|
[English version](SECURITY.md)
|
|
|
|
## Signaler une faille
|
|
|
|
Ne décrivez jamais une faille dans une issue, une discussion ou une pull request : tout y est public.
|
|
|
|
Passez de préférence par le signalement privé de GitHub, dans l'onglet **Security** de ce dépôt, bouton « Report a vulnerability ». Si vous ne pouvez pas l'utiliser, écrivez à pro.allali.ilies@gmail.com.
|
|
|
|
Indiquez si possible ce qui est touché (adresse, route de l'API, fichier), les étapes pour reproduire et l'impact que vous constatez. Un rapport court et précis suffit.
|
|
|
|
## Périmètre
|
|
|
|
- L'instance publique [parenthese.io](https://parenthese.io) : le site, l'application et son API.
|
|
- Le code de ce dépôt, y compris la configuration d'auto-hébergement (`docker-compose.yml`, images Docker, configuration nginx).
|
|
|
|
Une instance auto-hébergée par quelqu'un d'autre relève de son administrateur. Si la faille vient du code, elle est dans le périmètre.
|
|
|
|
Sur parenthese.io, testez uniquement avec votre propre compte et vos propres arbres. N'accédez pas aux données d'autres familles, et pas de déni de service ni de tests automatisés massifs.
|
|
|
|
## Délai de réponse
|
|
|
|
Parenthèse est maintenu par une seule personne. Vous recevrez un accusé de réception dès que possible, en général sous une semaine. Les failles graves passent avant tout le reste. Une fois le correctif publié, la faille peut être décrite publiquement, en laissant aux auto-hébergeurs le temps de mettre à jour.
|
|
|
|
Seule la dernière version de la branche `main` reçoit des correctifs.
|