Philosophie de sécurité & divulgation responsable
CopyCharacter prend au sérieux l’intégrité logicielle, la sécurité des applications web et la protection des données des visiteurs. Nous reconnaissons le rôle inestimable des chercheurs en sécurité indépendants dans l’identification des vulnérabilités.
Si vous pensez avoir découvert une faille de sécurité ou une vulnérabilité technique affectant notre plateforme, nous vous encourageons à la divulguer de manière responsable afin que nous puissions l’examiner et la corriger rapidement avant toute exposition publique.
Cibles incluses & exclues
✅ Cibles incluses
- Domaine de production :
https://copycharacter.com/* - Moteur de routage, traitement des paramètres HTTP et rendu des vues.
- Cross-Site Scripting (XSS) dans la recherche de caractères et les convertisseurs d’encodage.
- Cross-Site Request Forgery (CSRF) sur les formulaires de contact et d’erreur.
- Exécution de code à distance ou vulnérabilités d’inclusion de fichiers arbitraires.
❌ Strictement exclues
- Attaques par déni de service (DoS ou DDoS) contre les serveurs web ou les nœuds de bordure CDN.
- Scan automatisé de masse, force brute ou spam de formulaires.
- Ingénierie sociale, hameçonnage ou tentatives d’intrusion physique.
- Vulnérabilités dans des services hébergés par des tiers (ex. Cloudflare, Google AdSense) n’affectant pas directement notre code applicatif.
Refuge sûr & activités de test interdites
Pour bénéficier du refuge sûr et éviter des poursuites, les chercheurs doivent mener leurs tests strictement dans ces limites :
- Ne pas compromettre la disponibilité, la performance ou l’intégrité des services pour les autres visiteurs.
- Ne pas accéder au stockage navigateur d’un autre utilisateur ni à ses soumissions de contact, les modifier ou les exfiltrer.
- Accorder à notre équipe de développement un délai raisonnable (minimum 30 jours) pour déployer un correctif avant de publier toute description technique de la vulnérabilité ou preuve de concept.
Comment soumettre un rapport de vulnérabilité
Veuillez envoyer votre rapport directement par e-mail à security [at] copycharacter [dot] com ou utiliser notre portail structuré de routage de contact :
Soumettre un rapport de sécurité
Adressez votre rapport de vulnérabilité à notre boîte de sécurité dédiée avec triage rapide.
Incluez une description claire de la vulnérabilité, les étapes de reproduction avec transcriptions de requêtes/réponses HTTP ou commandes curl minimales, et votre évaluation de l’impact.
Accusé de réception & SLA de correctifs
- Accusé de réception initial : Sous 24 à 48 heures après réception.
- Triage & évaluation : Sous 5 jours ouvrés.
- Déploiement des correctifs : Les problèmes de criticité grave sont corrigés en priorité d’urgence ; les problèmes modérés sont déployés dans les cycles de version standard.
Endpoint security.txt RFC 9116
Conformément à la spécification RFC 9116 sur les divulgations de sécurité web, CopyCharacter maintient un fichier de politique de sécurité lisible par machine à :