Divulgation responsable

#Statut du présent document

Cette politique est applicable à compter du 5 septembre 2026. La version et la date d’entrée en vigueur affichées sur cette page identifient le document applicable. La publication de cette politique n’étend pas l’autorisation de test au-delà des limites décrites ci-dessous.

#Opérateur et canal de signalement

PROVEN est exploité par Adrian Popescu, développeur indépendant. Les vulnérabilités de sécurité affectant des systèmes contrôlés par PROVEN peuvent être signalées à contact@proven.ro.

Lorsque cela est possible sans divulguer de données sensibles, un signalement devrait inclure le service ou l’URL concerné, les étapes de reproduction, l’impact observé, les conditions nécessaires à la reproduction et des coordonnées permettant d’obtenir des précisions. N’envoyez pas de mots de passe, clés API, jetons, identifiants marchand ni de copies de données personnelles qui ne sont pas nécessaires au signalement.

#Périmètre

Cette politique concerne les surfaces et services exploités ou contrôlés par PROVEN. Elle n’autorise pas à tester les boutiques de marchands, Shopify, les fournisseurs externes ou d’autres systèmes tiers au seul motif qu’ils interagissent avec PROVEN.

#Limites de la recherche de bonne foi

Les activités suivantes ne sont pas autorisées par la présente politique :

• accéder intentionnellement aux données d’une autre personne ou d’un marchand, les modifier, les supprimer ou les exfiltrer ;
• obtenir ou utiliser des secrets, jetons, clés API ou identifiants qui ne vous appartiennent pas ;
• déni de service, dégradation intentionnelle de la disponibilité, flooding, spam ou tests volumétriques ;
• ingénierie sociale, phishing, usurpation d’identité ou demande d’identifiants à des utilisateurs ou collaborateurs ;
• persistance, pivot vers d’autres systèmes, installation de malware ou modifications qui subsistent après le test ;
• test de l’infrastructure d’un marchand ou d’un autre tiers sans autorisation distincte de cette partie.

Si une vérification expose des données personnelles, des secrets ou un accès au-delà de ce qui est strictement nécessaire pour démontrer le problème, arrêtez la vérification et signalez la situation sans étendre l’accès.

#Processus de traitement

PROVEN peut accuser réception, demander des informations supplémentaires, reproduire le problème, évaluer son impact et communiquer au sujet de la remédiation ou de la coordination de la divulgation. Cette politique n’établit pas de SLA de réponse, de programme de bug bounty ni d’obligation de verser une récompense.

#Divulgation publique

Afin de réduire les risques pour les utilisateurs, évitez de publier des détails exploitables avant que PROVEN ait eu une possibilité raisonnable d’enquêter et, le cas échéant, de corriger le problème. Toute coordination reste soumise au droit applicable et aux droits des tiers.