Comment nous vous protégeons
- Chiffrement en transit : l’ensemble du site est servi en HTTPS avec HSTS.
- Mots de passe : stockés uniquement sous forme de hachages scrypt avec un sel unique. Nous comparons les nouveaux mots de passe à des mots de passe connus pour avoir fuité, au moyen d’une recherche qui protège la vie privée et n’envoie jamais votre mot de passe nulle part.
- Sessions : des jetons aléatoires dans des témoins sécurisés HttpOnly. Nous ne conservons qu’un hachage de chaque jeton; une fuite de la base de données n’exposerait donc pas les sessions actives. Vous pouvez voir et fermer vos sessions depuis votre compte.
- Vérification en deux étapes : offerte à tous les membres, avec n’importe quelle application d’authentification et des codes de récupération à usage unique. Obligatoire pour tous les comptes du personnel.
- Paiements : entièrement traités par Stripe. Les données de carte ne passent jamais par nos serveurs.
- Protections Web : une politique de sécurité du contenu (CSP) stricte, une protection contre la falsification de requêtes intersites, des limites de fréquence et des verrouillages progressifs à la connexion et pour les autres actions sensibles.
- Moindre privilège : l’accès du personnel est limité selon le rôle, et chaque action du personnel sur les données des membres est consignée dans un journal d’audit.
- Chaîne d’approvisionnement logicielle minimale : notre serveur fonctionne sans aucun paquet tiers à l’exécution, ce qui réduit la quantité de code à laquelle nous devons faire confiance.
- Sauvegardes : chiffrées et testées régulièrement.
Protéger votre compte
- Utilisez un mot de passe que vous n’utilisez nulle part ailleurs. Un gestionnaire de mots de passe vous facilite la tâche.
- Activez la vérification en deux étapes dans Compte → Connexion et sécurité.
- Nous ne vous demanderons jamais votre mot de passe ni un code de vérification par courriel, par téléphone ou par message.
- Si vous recevez un courriel qui semble venir de nous, mais qui vous paraît louche, ne cliquez pas sur les liens. Allez directement sur le site ou transférez-nous le courriel.
Signaler une vulnérabilité
Écrivez à [courriel de sécurité] en indiquant :
- une description du problème et de ses conséquences possibles;
- les étapes à suivre pour le reproduire, y compris les URL, les requêtes et les comptes de test utilisés;
- tout code de preuve de concept ou toute capture d’écran;
- si vous souhaitez que votre contribution soit soulignée, et de quelle façon.
Notre fichier security.txt indique les mêmes coordonnées.
Portée
Inclus : [votredomaine.com] et ses sous-domaines, y compris l’espace membre, le back office et l’API à /api/.
Exclus :
- les tests de déni de service, de charge ou de volume;
- l’ingénierie sociale, l’hameçonnage ou les attaques physiques visant notre personnel, nos partenaires ou nos locaux;
- les services tiers que nous utilisons, comme Stripe, notre fournisseur de courriel ou nos transporteurs, comme Postes Canada ou USPS (signalez ces problèmes directement au fournisseur concerné);
- les résultats d’outils d’analyse automatisés sans impact démontré, l’absence d’en-têtes recommandés sans exploit à l’appui, le self-XSS, le détournement de clic (clickjacking) sur des pages sans action sensible, et les signalements d’usurpation de courriel sans preuve de l’absence d’un enregistrement SPF, DKIM ou DMARC.
Règles d’engagement
- Effectuez vos tests uniquement sur des comptes qui vous appartiennent ou que vous avez la permission explicite d’utiliser.
- N’accédez qu’au minimum de données nécessaire pour démontrer le problème. Si vous accédez aux renseignements personnels d’autres personnes, arrêtez-vous, ne les conservez pas et prévenez-nous immédiatement.
- Ne modifiez ni ne supprimez aucune donnée, et n’interrompez ni ne dégradez le service pour les autres membres.
- Ne passez pas de vraies commandes avec des numéros de carte volés ou de test.
- Laissez-nous un délai raisonnable pour corriger le problème avant d’en parler à qui que ce soit. Nous suggérons 90 jours, et nous convenons volontiers d’une date avec vous.
Protection juridique (safe harbour)
Si vous faites un effort de bonne foi pour respecter cette politique, nous considérerons votre recherche comme autorisée, nous n’intenterons ni n’appuierons aucune poursuite contre vous et, si un tiers vous poursuit en raison d’une recherche menée conformément à cette politique, nous ferons savoir que vos actions étaient autorisées. En cas de doute sur ce qui est permis, demandez-nous d’abord.
À quoi vous attendre de notre part
- Nous accuserons réception de votre signalement dans un délai de 3 jours ouvrables.
- Nous vous transmettrons une première évaluation dans un délai de 10 jours ouvrables et nous vous tiendrons au courant jusqu’à la correction.
- Une fois le problème résolu, nous vous remercierons publiquement, si vous le souhaitez.
- Nous n’avons pas encore de programme de primes aux bogues rémunéré, mais nous envoyons une boîte de livres en guise de remerciement.