Politique de sécurité

Contact : https://github.com/Cap-go/capgo.app/security/advisories/new
URL canonique : https://capgo.app/security/
Security.txt : https://capgo.app/.well-known/security.txt (/security.txt)

Chez Capgo, la sécurité de nos systèmes est une priorité absolue. Cependant, peu importent les efforts déployés pour sécuriser nos systèmes, des vulnérabilités peuvent toujours exister.

Si vous découvrez une vulnérabilité, nous aimerions en être informés afin de pouvoir la corriger le plus rapidement possible. Nous vous remercions de nous aider à mieux protéger nos clients et nos systèmes.

Vulnérabilités hors périmètre :

Clickjacking sur des pages sans actions sensibles.
CSRF non authentifié / déconnexion / connexion.
Attaques nécessitant un MITM ou un accès physique à l'appareil d'un utilisateur.
Attaques nécessitant de l'ingénierie sociale.
Toute activité pouvant entraîner une interruption de notre service (DoS).
Problèmes de spoofing de contenu et d'injection de texte sans vecteur d'attaque démontré ou sans possibilité de modifier le HTML/CSS.
Spoofing d'e-mail
Absence de DNSSEC, CAA ou d'en-têtes CSP
Absence des flags Secure ou HTTP only sur les cookies non sensibles
Liens morts
Énumération d'utilisateurs
Rapports de SSRF ou de DNS spoofing ciblant les webhooks ou l'aperçu du site. Ces fonctionnalités reposent sur une infrastructure serverless et ne peuvent pas être utilisées pour atteindre l'infrastructure privée de Capgo, elles ne sont donc pas exploitables dans notre environnement.
Configuration code de l'application ou du projet appartenant à l'utilisateur et que Capgo ne possède pas, ne déploie pas et ne contrôle pas, incluant des fichiers tels que capacitor.config.ts, config.capacitor.ts, le code source code, ainsi que les paramètres spécifiques à l'environnement.
Accès aux fichiers du bundle Capgo ou preuve que les fichiers du bundle peuvent être téléchargés. Les fichiers du bundle sont des assets web publics, les utilisateurs en sont informés, et leur accès n'est pas considéré comme une violation de données.
Les endpoints de plugin Capgo ou API non authentifiés qui sont intentionnellement publics par conception — incluant le paramètre channel_self et les endpoints update/stats ne nécessitant pas de clé API — ne sont pas des vulnérabilités. Ne les signalez pas comme telles.
Le fait que l'uploader ou l'UI étiquette incorrectement le chiffrement pour les bundles servis via external_url n'est pas une vulnérabilité Capgo (le chiffrement des bundles hébergés à l'extérieur échappe au contrôle de Capgo).

Limitations connues de Supabase Auth

Certaines observations sont signalées de manière répétée et sont liées au comportement de Supabase Auth. Elles ne sont considérées comme des problèmes côté Supabase que si elles peuvent être reproduites dans un projet de démo Supabase partagé, configuré comme le nôtre, et si un changement de configuration Supabase corrige le comportement sans modifier les règles de sécurité Capgo. Si la correction nécessite de modifier le SQL, les RPC, les politiques RLS, les fonctions ou la logique applicative appartenant à Capgo, il s'agit d'un problème Capgo qui doit nous être signalé.

Les rapports doivent inclure un projet Supabase reproductible, avec les étapes à suivre, qui correspond à nos paramètres et démontre le comportement.
Les rapports doivent inclure le chemin de correction exact : soit le changement de paramètre/config Supabase qui résout le comportement, soit l'objet code/config appartenant à Capgo qui doit être modifié.
Les flux d'e-mail et de compte sont validés selon les paramètres du projet Supabase (par exemple, si la vérification de l'e-mail est désactivée et si le flux de capture est utilisé).
Les flux de mise à jour du mot de passe et de l'e-mail peuvent dépendre de la session Supabase Auth actuelle et des paramètres de re-vérification.
Si un projet de démo prouve une correction concrète côté Supabase sans changement de politique Capgo, ou démontre un défaut concret appartenant à Capgo, nous l'examinons comme une action exploitable.

Directives de test :

Ne lancez pas de scanners automatisés sur les projets d'autres clients. L'utilisation de scanners automatisés peut engendrer des coûts pour nos utilisateurs. Des scanners configurés de manière agressive pourraient involontairement perturber des services, exploiter des vulnérabilités, entraîner une instabilité du système ou des compromissions, et violer les conditions d'utilisation de nos fournisseurs en amont. Nos propres systèmes de sécurité ne pourront pas distinguer une reconnaissance hostile d'une recherche whitehat. Si vous souhaitez lancer un scanner automatisé, prévenez-nous à security@capgo.app et lancez-l’uniquement sur votre propre projet Capgo. Ne lancez PAS d'attaques sur les projets d'autres clients.
Ne profitez pas de la vulnérabilité ou du problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la faille, ou en supprimant ou modifiant les données d'autrui.

Directives de signalement :

Soumettez vos découvertes via notre GitHub Security Advisory : https://github.com/Cap-go/capgo.app/security/advisories/new
Fournissez suffisamment d'informations pour reproduire le problème, afin que nous puissions le résoudre le plus rapidement possible.
Nous acceptons et examinons les rapports de sécurité pour les plugins Capgo, mais les primes (bounties) pour les plugins code sont limitées à @capgo/capacitor-updater.. Les autres plugins Capgo sont gratuits et ne font pas partie de notre offre payante ; les rapports les concernant sont donc examinés mais non rémunérés.

Directives de divulgation :

Afin de protéger nos clients, ne révélez pas le problème à des tiers avant que nous ayons mené nos recherches, apporté une correction et informé nos clients concernés.
Si vous souhaitez partager publiquement vos recherches sur Capgo lors d'une conférence, sur un blog ou tout autre forum public, vous devez nous partager un brouillon pour relecture et approbation au moins 30 jours avant la date de publication. Veuillez noter que les éléments suivants ne doivent pas être inclus :
- Les données relatives aux projets clients de Capgo
- Les données des clients de Capgo
- Les informations concernant les employés, prestataires ou partenaires de Capgo

Nos engagements :

Nous vous répondrons sous 7 jours ouvrés avec notre évaluation du rapport et une date de résolution prévue.
Si vous avez suivi les instructions ci-dessus, nous n'engagerons aucune action en justice contre vous concernant ce rapport.
Nous traiterons votre rapport de manière strictement confidentielle et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation.
Nous vous tiendrons informé de l'avancement de la résolution du problème.
Dans les informations publiques concernant le problème signalé, nous indiquerons votre nom comme découvreur du problème (sauf si vous préférez rester anonyme).
Si des données divulguées apparaissent dans les logs que vous nous partagez, nous les traitons comme des informations de débogage servant à corriger le problème, jamais comme un motif de représailles ou de rétorsion.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible et nous souhaitons jouer un rôl’actif dans la publication finale concernant le problème une fois celui-ci résolu.