Signaler une faille.

Ce qu’il faut envoyer

• Ce qui est touché : Bank — sa version, son tier, son édition, ton système —, ou l’adresse en cause : api., my. ou admin.mimoslabs.com, ou ce site.
• De quoi la rejouer : les étapes, une preuve de concept courte ; ce que tu attendais, ce que tu as obtenu.
• Ce qu’elle permet : qui peut faire quoi, depuis où, avec quel accès.
• Si tu sais qu’elle est déjà exploitée par quelqu’un, dis-le dès la première ligne : c’est ce qui fixe nos délais les plus courts.
• Comment te remercier : ton nom ou un pseudonyme dans l’avis — ou rien.

N’envoie jamais un export de ta banque — il contient tout, le privé compris, en clair —, ni les données de quelqu’un d’autre : un extrait sans contenu privé suffit toujours.

Nos délais

Accusé de réception

72 heures au plus.

Première évaluation

7 jours : la faille est-elle confirmée, quelle est sa gravité, quelles versions sont touchées.

Correctif

Ou une mesure qui protège en attendant : 7 jours pour une faille critique ou déjà exploitée, 30 jours pour une faille élevée, 90 jours — ou la version suivante — pour une faille moyenne ou faible.

Avis

Publié avec la version corrigée.

Si un délai ne peut pas tenir, tu le sais avant qu’il passe, avec la raison et une nouvelle date.

La gravité. Critique : exécuter du code sur la machine d’un utilisateur, lire sa banque depuis une autre machine ou depuis une page web, faire servir un installeur ou une mise à jour modifiés, prendre le compte de quelqu’un, lire les données des clients sur le serveur. Élevée : une protection importante tombe, sans aller jusque-là — le privé qui sort d’un écran montrable, une session qu’on peut voler, les données d’un autre compte lues en partie. Moyenne ou faible : le reste, dont le contournement de la licence.

La divulgation coordonnée

• Garde la faille pour toi jusqu’à l’avis — ou 90 jours après ton signalement, la première des deux dates. Un autre délai se convient ensemble.
• Nous te tenons au courant à chaque étape : confirmée, corrigée, publiée.
• L’avis part avec la version corrigée : sa note de version, que Bank annonce, dit qu’elle corrige une faille et ce qu’il faut faire ; cette page dit la faille, les versions touchées et sa gravité. Bank ne se met jamais à jour tout seul : les détails techniques peuvent attendre que chacun ait pu installer la correction — jamais plus de 90 jours après ton signalement, sauf accord avec toi.
• Si la faille est exploitée avant d’être corrigée, nous publions plus tôt ce qu’il faut pour s’en protéger, et nous te prévenons.
• Pas de prime : un merci public, si tu le veux.

Ce qui est couvert

Bank, dans toute version encore suivie ; son serveur de licences et ton compte (api., my. et admin.mimoslabs.com) ; ce site. Le paiement est chez Lemon Squeezy : c’est à lui qu’il se signale, comme à Cloudflare ou à OVH ce qui les touche. Une faille d’un composant — SQLite, Python… — se signale à qui le maintient : dis-nous si Bank en souffre.

Pour chercher

• Sur ta propre installation de Bank.
• Sur le serveur, avec ton propre compte seulement. Jamais les données d’un autre : si cela arrive, arrête-toi, ne garde rien, dis-le.
• Ni déni de service, ni envoi massif, ni ingénierie sociale ; pas la page de paiement.

Une recherche menée dans ces règles est la bienvenue : nous la traitons comme une aide.

Si une faille est exploitée

Une faille de Bank activement exploitée, ou un incident grave qui touche sa sécurité, mimoslabs le déclare dans les 24 heures au CERT-FR de l’ANSSI et à l’ENISA, par la plateforme européenne de signalement, comme le règlement européen sur la cyberrésilience l’exige — puis prévient les utilisateurs touchés, et leur dit quoi faire.

Ton message

Il ne sert qu’à traiter la faille et à te tenir au courant. Il reste dans la messagerie de mimoslabs, chez OVH, en France. Ton nom n’est publié dans l’avis que si tu le demandes. Le reste est dans la politique de confidentialité.

Les avis

Aucun avis publié à ce jour.

In English

Found a vulnerability in Bank, in your mimoslabs account or on this site? Email contact@mimoslabs.com, subject line “[sécurité]” or “[security]”, in French or in English. We acknowledge within 72 hours, assess within 7 days, and fix critical or exploited issues within 7 days. Please keep it private until our advisory, or 90 days after your report, whichever comes first. Test only your own installation or account, never touch other people’s data, and no denial of service. No bounty — public thanks if you wish.