Sécurité & divulgation responsable
Heritavo gère des données sensibles selon un modèle zero-knowledge. Les signalements de sécurité sont notre priorité absolue. Cette page décrit comment signaler une faille et à quoi tu peux t'attendre de notre part.
Comment signaler un problème
De préférence par e-mail à security@heritavo.com. Si ce canal n'est pas accessible, tu peux aussi nous joindre à support@heritavo.com.
Version lisible par machine de cette politique : /.well-known/security.txt.
Ce qu'il faut inclure dans ton signalement
- Une brève description de la vulnérabilité et du composant affecté.
- Étapes de reproduction (requête/réponse, URL, ID de compte le cas échéant).
- Évaluation de l'impact et conditions requises pour l'attaquant.
- Optionnel : une suggestion de correction.
Ce que nous nous engageons à faire
- Nous confirmons la réception dans les 72 heures.
- Nous fournissons un premier point sous 7 jours.
- Nous ne poursuivrons pas judiciairement les chercheurs qui agissent de bonne foi, respectent cette politique et n'exfiltrent pas de données utilisateur réelles.
- Sur demande, nous te créditons dans un Hall of Fame public dès que la faille est corrigée.
Ce que nous demandons
- N'utilise pas de techniques destructrices (DoS, manipulation de données, création massive de comptes) — si tu as besoin d'une preuve, crée ton propre compte de test.
- N'accède pas aux données d'autres utilisateurs. Si tu peux atteindre des données réelles, arrête immédiatement et signale-le.
- Ne divulgue la vulnérabilité qu'après correction ou après 90 jours — le premier des deux.
Périmètre
Sont dans le périmètre tous les hôtes exploités par Heritavo sous heritavo.com. Les autres domaines Heritavo (par ex. heritavo.ch, heritavo.de) sont de simples redirections vers heritavo.com et n'ont pas de périmètre propre. Sont hors périmètre les tiers liés, les pures signalisations de spam/phishing et les résultats de scanners automatisés sans impact concret.
Modèle zero-knowledge
Heritavo chiffre le contenu du coffre-fort côté client avant l'upload. Le serveur n'a pas accès à la clé maîtresse. Même une fuite complète de la base ne donne à un attaquant aucun accès aux données déchiffrées du coffre-fort — à condition que le mot de passe utilisateur soit suffisamment fort pour résister à un brute-force Argon2id. Les findings qui rompent cet invariant sont traités avec la plus haute priorité.
Version : mai 2026