Politique de divulgation responsable

Nous prenons la sécurité de Centrium très au sérieux. Si tu as identifié une vulnérabilité, nous voulons en être informés rapidement pour la corriger et protéger nos utilisateurs.

Comment nous signaler une vulnérabilité

1. Envoie un email à security@centrium-platform.com
2. Décris la vulnérabilité, les étapes pour la reproduire, l'impact estimé
3. Inclus ta preuve de concept (vidéo, captures, requêtes HTTP)
4. Ne divulgue PAS publiquement avant qu'on ait confirmé un correctif

Notre engagement (Safe Harbor)

Tant que tu respectes cette politique, nous nous engageons à :

• Accuser réception sous 48h ouvrées
• Trier et évaluer la vulnérabilité sous 7 jours
• Te tenir informé de l'avancement
• Déployer un correctif selon la criticité : 24h (critique), 7 jours (haute), 30 jours (moyenne), 90 jours (basse)
• Te reconnaître publiquement dans notre Hall of Fame si tu le souhaites
• Ne PAS engager de poursuites judiciaires si tes recherches sont de bonne foi, ciblent uniquement TES propres données ou un compte de test, et respectent la loi française et européenne

Périmètre concerné

Sont dans le périmètre :

• Le domaine centrium-platform.com et tous ses sous-domaines
• L'API REST Centrium (/api/*)
• Les composants techniques que nous opérons directement

Hors-scope

• Attaques nécessitant un accès physique à nos serveurs
• Ingénierie sociale contre nos employés ou nos clients
• Spam, déni de service (DDoS), brute-force sans impact réel
• Vulnérabilités dans nos sous-traitants (Supabase, Vercel, Anthropic, Stripe, Resend) — reporte directement chez eux, leurs programmes bug bounty sont publics
• Findings de scanners automatisés sans démonstration d'impact
• Headers HTTP manquants sans démonstration d'exploitabilité (ex: "missing X-Content-Type-Options")
• Self-XSS (ne touche que le compte du chercheur)

Bug Bounty

Notre programme de Bug Bounty rémunéré est en cours de mise en place (lancement prévu Q4 2026 sur YesWeHack). En attendant, les chercheurs qui contribuent significativement reçoivent des goodies et une mise en avant publique.

Hall of Fame

Notre Hall of Fame est en cours de constitution. Si tu nous as déjà signalé une vulnérabilité, merci ! Tu peux nous demander d'y figurer à l'adresse security@centrium-platform.com.

Contact

Toute question sur cette politique : security@centrium-platform.com