Politique de divulgation des vulnérabilités

• Ce site, earbunny.app, et les sous-domaines que nous exploitons.
• Le tableau de bord web des parents.
• Notre API, telle qu'utilisée par les applications et le tableau de bord web.
• L'application iOS, y compris l'application Apple Watch et les widgets.

• Les attaques par déni de service, les tests de charge ou de résistance.
• L'ingénierie sociale ou l'hameçonnage visant notre équipe, nos utilisateurs ou nos prestataires.
• Les attaques physiques contre des bureaux, des centres de données ou des appareils.
• Le spam, ou l'envoi massif de messages via le formulaire de contact ou l'inscription.
• Les services exploités par des tiers (par exemple l'App Store, Cloudflare, Vercel ou Sentry). Merci de les signaler directement au fournisseur concerné.
• Les rapports issus d'outils d'analyse automatique sans impact démontré et exploitable.

• Utilisez des comptes de test que vous avez créés vous-même. Si vous avez besoin d'une deuxième famille pour tester les règles d'accès, créez une deuxième famille de test.
• N'accédez pas aux données d'autres personnes, ne les modifiez pas et ne les supprimez pas. Si vous tombez par hasard sur les données de quelqu'un d'autre, arrêtez-vous, ne conservez que ce qui prouve le problème et prévenez-nous.
• Pas de tests destructifs : ne dégradez pas nos services, ne supprimez pas de données et ne laissez aucune modification persistante.
• Gardez les détails confidentiels jusqu'à ce que nous ayons corrigé le problème et convenu avec vous de sa divulgation.
• Agissez de bonne foi et dans le respect de la loi.

Écrivez à security [at] earbunny.app. Merci d'indiquer :

• Ce que vous avez trouvé et où (URL, point d'accès ou écran de l'application, version de l'application).
• Les étapes pour reproduire le problème, avec des captures d'écran ou une courte vidéo si c'est utile.
• L'impact que vous estimez qu'il peut avoir.
• Comment vous joindre, et si vous souhaitez être remercié nommément.

Les e-mails chiffrés (PGP) ne sont pas encore disponibles. Merci de ne pas nous envoyer les données personnelles d'autres personnes ; si vous devez partager quelque chose de sensible, décrivez-le et nous conviendrons d'un moyen d'échange sûr.

• Nous accusons réception de votre signalement sous 3 jours ouvrés.
• Nous l'analysons et vous communiquons notre évaluation sous 10 jours ouvrés.
• Nous vous tenons informé jusqu'à la correction, et vous prévenons quand elle est en place.
• Si vous le souhaitez, nous vous citons une fois le correctif publié.

Nous ne proposons pas encore de programme de bug bounty rémunéré. Nous sommes une petite équipe et préférons le dire plutôt que de promettre ce que nous ne pourrions pas tenir. Avec votre accord, nous citons sur cette page, dans un tableau de remerciements, les chercheurs qui nous ont aidés.

Nos coordonnées et cette politique sont également publiées dans un format lisible par machine à l'adresse /.well-known/security.txt. Pour une vue d'ensemble de la protection de vos données, consultez la page Sécurité.