Sécurité et signalement de vulnérabilités

Notre position

Nous accueillons les signalements de vulnérabilités émanant de chercheurs en sécurité de bonne foi. Pour contribuer à la sécurité de HearRelay et de ses services associés, nous vous invitons à pratiquer une divulgation responsable. La présente politique définit le périmètre que nous vous demandons de respecter et la manière dont nous répondrons.

Comment signaler

Si vous découvrez une vulnérabilité, écrivez à l’adresse dédiée figurant en bas de cette page. Les coordonnées valables pour l’ensemble du site sont également publiées dans /.well-known/security.txt (RFC 9116). Dans la mesure du possible, veuillez inclure :

• La fonctionnalité, la version et le système d’exploitation concernés
• Les étapes de reproduction (joignez une preuve de concept si vous en avez une)
• L’impact attendu
• Comment vous joindre

Dans le périmètre

• L’application iOS / iPadOS HearRelay elle-même
• Les pages de conex-cp.com relatives à HearRelay

Hors périmètre

Les éléments suivants sont hors du périmètre de la présente politique :

• L’ingénierie sociale, l’intrusion physique et les attaques contre notre personnel ou nos partenaires
• Le déni de service (DoS / DDoS), le spam et les attaques volumétriques
• Les vulnérabilités de l’infrastructure d’Apple (App Store, iCloud, iOS lui-même) ou de services tiers
• Les problèmes qui nécessitent un accès physique à l’appareil de l’utilisateur et ne présentent aucune menace réaliste

Sphère de sécurité (safe harbor)

Pour les recherches menées de bonne foi et dans le périmètre de la présente politique, nous accueillons votre travail et n’engagerons aucune action en justice sur la base de ces recherches. Lors de vos recherches, évitez de porter atteinte à la vie privée, de détruire ou d’altérer des données ou de perturber le service, et n’accédez pas aux données de tiers. Veuillez ne pas divulguer une vulnérabilité à des tiers avant que nous ayons eu une possibilité raisonnable d’y remédier (divulgation coordonnée).

Notre réponse

• Nous accuserons réception dans un délai raisonnable.
• Nous validerons le signalement et prioriserons un correctif selon son impact.
• Nous partagerons l’état d’avancement du correctif avec la personne à l’origine du signalement, dans la mesure du possible.
• Nous ne proposons pas actuellement de programme de récompense financière (bug bounty), mais nous vous sommes reconnaissants de votre aide.

Note sur la conception

HearRelay est conçu de telle sorte que l’audio n’est jamais envoyé à un serveur, que la communication entre pairs est chiffrée de bout en bout et que les connexions sont limitées au même réseau local (voir la politique de confidentialité et la page produit pour l’intention de conception). Vos observations sur la conception sont également les bienvenues.