Sécurité

Politique de divulgation des vulnérabilités

Version du 10 août 2026

Si vous avez trouvé une faiblesse dans MAFATE, cette page vous dit comment nous l'apprendre, ce que nous en ferons, et ce à quoi nous nous engageons envers vous. Elle complète le fichier /.well-known/security.txt.

Comment nous signaler une faiblesse

Écrivez à [email protected]. Décrivez ce que vous avez observé et comment le reproduire. Un extrait de requête, une capture ou un script court valent mieux qu'une description longue.

Nous répondons en français ou en anglais. Nous accusons réception sous 72 heures ouvrées et nous vous donnons notre analyse initiale sous 10 jours ouvrés. Si nous corrigeons, nous vous disons quand, et nous vous prévenons à la publication du correctif.

Notre engagement envers vous

Nous n'engagerons aucune poursuite civile ou pénale contre vous, et nous ne demanderons à aucune autorité de le faire, si votre recherche respecte les conditions suivantes.

Vous restez dans le périmètre décrit plus bas.
Vous n'accédez pas à des données qui ne vous appartiennent pas, et vous vous arrêtez dès que vous constatez que c'est possible.
Vous ne dégradez pas le service, ne le rendez pas indisponible et ne détruisez aucune donnée.
Vous nous laissez un délai raisonnable pour corriger avant toute publication, et nous en convenons ensemble.

Cet engagement vous est opposable. Il ne couvre pas une recherche qui sortirait de ces limites, et il ne nous dispense pas de nos propres obligations légales de signalement.

Périmètre

Sont concernés le site www.mafate.io, l'API api.mafate.io, le tableau de bord, et les SDK publiés sous licence MIT.

Sont exclus les services de nos prestataires, qui portent leurs propres politiques : Scaleway pour l'hébergement, Stripe pour le paiement, Resend pour les courriels, Sentry pour la supervision. Une faiblesse chez eux se signale chez eux.

Sont également hors périmètre les rapports issus d'un scanner sans démonstration d'impact, l'absence d'en-têtes de sécurité sans exploitation associée, et l'ingénierie sociale visant nos équipes ou nos clients.

Ce que nous ne proposons pas

Nous ne versons aucune récompense. MAFATE est édité par une petite structure et nous préférons l'écrire clairement plutôt que de laisser espérer. Nous créditons volontiers votre nom sur cette page si vous le souhaitez, et nous vous fournissons une attestation de signalement si elle vous est utile.

Ce que nous faisons d'un signalement

Nous qualifions d'abord la faiblesse, puis nous déterminons si elle est activement exploitée. Cette distinction commande la suite : une vulnérabilité activement exploitée relève d'obligations de signalement aux autorités dans des délais courts, une vulnérabilité seulement présente relève de notre cycle de correction ordinaire.

Dans les deux cas nous vous tenons informé, et nous publions le correctif ainsi que sa description une fois nos clients protégés.

Clé publique de signature des attestations

Nos attestations de conformité sont signées en ML-DSA-65 (FIPS 204), un schéma résistant à un adversaire quantique. Pour vérifier une pièce, téléchargez sa forme canonique et sa signature depuis le tableau de bord de son détenteur, puis appliquez la clé ci-dessous.

Empreinte de la clé : 80E567FAD42A8740. C'est la valeur imprimée sur chaque pièce signée ; si les deux diffèrent, la pièce a été signée par une autre clé que celle publiée ici.

⚠️ La clé privée correspondante est un secret d'application, elle n'est pas détenue par un module matériel. Notre module de sécurité ne porte aucun algorithme post-quantique, et nous avons préféré une signature post-quantique avec une clé logicielle à une signature classique avec une clé matérielle. Quiconque obtiendrait ce secret pourrait signer en notre nom. Nous l'écrivons plutôt que de laisser supposer une protection que nous n'avons pas.

Seconde clé, Ed25519, empreinte 87D5DB9377BF83B4. ⛔ Elle n'est pas résistante à un adversaire quantique. Elle existe parce que vérifier ML-DSA exige OpenSSL 3.5, sorti en 2025 : un auditeur sur Debian 12 ou RHEL 9 ne peut pas vérifier la première. Ed25519 se vérifie avec tout OpenSSL depuis 2018.

Chaque pièce porte les deux signatures sur le même contenu. Vérifiez ML-DSA si votre poste le permet, Ed25519 sinon. ⚠️ Une pièce ne porte jamais Ed25519 seul.

Téléchargement direct, sans recopie : manifeste JSON, clé ML-DSA, clé Ed25519. ⚠️ Recopier un bloc PEM à la main produit des erreurs, et une vérification ratée sur une clé mal recopiée ressemble à une signature invalide.

Cette clé n'a pas encore été tournée. Toute rotation sera annoncée ici, et l'ancienne clé publique restera publiée : les pièces qu'elle a signées doivent rester vérifiables.