La sécurité chez Shipcue
Comment signaler une vulnérabilité, et ce que vous pouvez attendre de notre part.
Brouillon. Cette politique peut encore évoluer avant la sortie de Shipcue. Dernière mise à jour : .
Signaler une vulnérabilité
Écrivez à security@shipcue.app. Merci d’indiquer :
- ce que vous avez trouvé et où (version de l’app, point d’accès ou écran),
- les étapes pour le reproduire,
- l’impact que vous anticipez.
N’envoyez jamais de clés API (fichiers .p8), de jetons ou d’autres secrets, pas même les vôtres. Masquez-les dans les captures d’écran et les journaux.
Nos engagements
- Nous répondons sous 5 jours ouvrés.
- Nous vous tenons au courant pendant la correction et vous prévenons quand elle est faite.
- Nous vous citons lors de l’annonce du correctif, si vous le souhaitez.
- Nous n’engagerons aucune action en justice contre des recherches de bonne foi qui respectent cette politique.
Ce que nous vous demandons
- Ne testez qu’avec vos propres comptes, clés et apps.
- N’accédez pas aux données d’autres personnes, ne les modifiez pas et ne les supprimez pas. Si vous y accédez par accident, arrêtez-vous et prévenez-nous.
- Ne lancez pas de tests de déni de service, de spam ni d’ingénierie sociale contre nous ou nos utilisateurs.
- Laissez-nous un délai raisonnable pour corriger le problème avant de le publier (nous suggérons 90 jours).
Périmètre
- L’app Shipcue pour iPhone et iPad
- Nos points d’accès serveur sous shipcue.app
Les services d’Apple (App Store Connect, APNs) et RevenueCat sont hors périmètre ; signalez les problèmes qui les concernent à ces entreprises.
Hameçonnage
Shipcue ne demande jamais de clé API, de mot de passe ni d’identifiant dans une notification, et nos notifications ne contiennent jamais de lien externe. Si vous en recevez une qui le fait, transférez-la à security@shipcue.app.