Jynx gaming matchmaking app logo

Politique de sécurité et de divulgation des vulnérabilités

Dernière mise à jour : 13 août 2026

Date d'entrée en vigueur : 13 août 2026

Signaler une vulnérabilité

Si vous pensez avoir trouvé une faille de sécurité qui affecte Jynx, écrivez à [email protected]. Cette adresse est surveillée par l'équipe Jynx.

Une version lisible par machine de ces informations de contact est publiée sur /.well-known/security.txt, au format défini par la RFC 9116. Le fichier est signé PGP : la clé publique est publiée sur /.well-known/pgp-key.asc (empreinte de la clé : 95C0 B6AC C22A 07CE BBE4 C465 DD41 721A 6D83 1567), ce qui vous permet de vérifier son authenticité : gpg --verify security.txt.

Merci de ne pas ouvrir de ticket public, de publier les détails sur les réseaux sociaux ni de divulguer publiquement votre découverte avant que nous ayons eu une occasion raisonnable d'y répondre.

Ce qu'il faut inclure

Plus vous fournissez d'éléments parmi les suivants, plus vite nous pouvons agir :

  • Une description claire du problème et de l'impact de sécurité que vous lui attribuez.
  • Les étapes de reproduction : une preuve de concept, une paire requête et réponse, une capture d'écran ou une courte vidéo.
  • La surface concernée : par exemple la version de l'application et la plateforme, l'URL ou le point d'accès de l'API.
  • Votre évaluation de la gravité et, le cas échéant, une proposition de correction.
  • La façon dont vous souhaitez être crédité, si la découverte est confirmée et que vous voulez figurer sur la liste (voir Remerciements).

Vous pouvez écrire en français ou en anglais.

Ce que vous pouvez attendre de nous

Jynx est une petite équipe : nous prenons donc des engagements que nous pouvons réellement tenir :

  • Accusé de réception : nous visons une confirmation de réception de votre signalement sous 5 jours ouvrés.
  • Évaluation : nous visons à vous dire si nous jugeons le signalement valide, et quelle gravité nous lui attribuons, sous 14 jours après l'accusé de réception.
  • Correction : les problèmes confirmés sont corrigés selon un délai proportionnel à leur gravité. Nous vous prévenons lorsqu'un correctif est livré.
  • Crédit : avec votre autorisation, les signalements confirmés sont crédités sur notre page Remerciements une fois le correctif en ligne.

Nous ne pourrons peut-être pas répondre en détail aux signalements qui relèvent entièrement de la liste hors périmètre ci-dessous.

Protection juridique (safe harbour)

Nous n'engagerons ni ne soutiendrons aucune action en justice contre vous pour des recherches de sécurité menées de bonne foi dans le cadre de cette politique, à condition que vous :

  • Fassiez un effort de bonne foi pour éviter les atteintes à la vie privée, la destruction de données, la dégradation du service et la perturbation des autres utilisateurs.
  • N'interagissiez qu'avec des comptes qui vous appartiennent ou pour lesquels vous avez l'autorisation explicite de leur titulaire.
  • N'accédiez pas aux données d'utilisateurs de Jynx, ne les modifiiez pas, ne les téléchargiez pas et ne les conserviez pas au-delà du minimum nécessaire pour démontrer le problème, et les supprimiez dès que le signalement est déposé.
  • N'effectuiez pas de test de déni de service, de test volumétrique ni de test de charge contre notre infrastructure.
  • N'utilisiez pas l'ingénierie sociale, l'hameçonnage ni des attaques physiques contre les utilisateurs, le personnel ou les prestataires de Jynx.
  • Nous laissiez une occasion raisonnable de corriger avant toute divulgation publique.

En cas de doute sur le caractère acceptable d'un test précis, demandez-nous à [email protected] avant de le lancer.

Périmètre

Les surfaces suivantes sont dans le périmètre :

  • Les applications mobiles Jynx : Android et iOS, dans leur dernière version publiée.
  • L'application web Jynx : web.jynx.app.
  • Le back-end de Jynx : notre API Cloud Functions, nos règles de sécurité de base de données et de stockage de fichiers, dans la mesure où elles peuvent être sollicitées depuis un client ordinaire.
  • Ce site : jynx.app.

Les services tiers dont nous dépendons (par exemple nos prestataires d'hébergement, de base de données, de messagerie et d'infrastructure vocale) ne sont pas dans le périmètre. Merci de signaler les problèmes de ces produits directement à l'éditeur concerné.

Hors périmètre

Nous apprécions votre attention, mais les points suivants ne sont pas traités comme des vulnérabilités à signaler. Il s'agit, pour l'essentiel, de résultats d'outils gratuits d'analyse automatique de configuration plutôt que de découvertes ayant un impact de sécurité démontré sur Jynx ou ses utilisateurs :

Configuration e-mail et DNS

  • Absence ou configuration de DNSSEC.
  • Politique DMARC à p=none, ou absence de politique plus stricte.
  • SPF avec un qualificatif « soft fail » (~all) plutôt que -all.
  • Absence de DKIM sur un sélecteur donné, de CAA, de MTA-STS, de TLS-RPT ou d'enregistrements BIMI.
  • Signalements d'usurpation d'e-mail qui n'incluent pas une preuve de concept livrée dans une boîte aux lettres que vous contrôlez.

Nous suivons nous-mêmes notre situation en matière d'authentification e-mail et DNS et l'améliorons à notre propre rythme. Les signalements de cette catégorie ne seront pas crédités.

En-têtes, TLS et autres configurations

  • En-têtes de sécurité HTTP manquants ou « faibles » sans exploitation démontrée.
  • Constats de configuration TLS (suites de chiffrement, versions de protocole, statut de préchargement HSTS) sans attaque démontrée.
  • Clickjacking sur des pages statiques sans action modifiant un état.
  • Absence des attributs Secure, HttpOnly ou SameSite sur des cookies qui ne portent ni session ni authentification.
  • Usurpation de contenu ou injection de texte sans exécution de HTML ni de script.
  • Présence d'une bannière de version, d'un fichier public ou d'un listage de répertoire sans impact démontré.

Signalements sans impact démontré

  • Sortie brute d'un outil d'analyse automatique, collée sans validation ni preuve de concept.
  • Self-XSS, ou tout problème qui exige que la victime colle dans sa propre console un contenu fourni par l'attaquant.
  • Problèmes qui exigent un appareil rooté, jailbreaké ou autrement compromis, ou un appareil physiquement déverrouillé.
  • Problèmes qui exigent une position d'attaquant intermédiaire que l'auteur du signalement a lui-même créée (par exemple un certificat racine installé par l'utilisateur).
  • Versions obsolètes de dépendances sans chemin d'exploitation fonctionnel dans Jynx.
  • Inquiétudes de limitation de débit ou de force brute sur des points d'accès qui n'exposent aucune donnée sensible ni aucun changement d'état.
  • Déni de service, tests volumétriques ou attaques par épuisement de ressources, de toute nature.
  • Ingénierie sociale, hameçonnage ou attaques physiques contre les utilisateurs ou le personnel de Jynx.
  • Informations publiques que Jynx publie délibérément (par exemple la configuration Firebase côté client, publique par conception et protégée par des règles de sécurité côté serveur et par App Check).

Pas de prime en argent

Jynx n'a pas de programme de bug bounty rémunéré et ne paie pas les signalements de vulnérabilités. Nous sommes une petite équipe indépendante et préférons être francs dès le départ plutôt que de laisser planer un doute.

Ce que nous offrons, pour les découvertes confirmées et dans le périmètre, c'est un crédit public sur notre page Remerciements, avec votre nom ou votre pseudo exactement comme vous le souhaitez et, si vous le voulez, un lien vers votre site ou votre profil. Cet engagement est sincère et permanent.

Les factures non sollicitées, les demandes de paiement ou les demandes de « récompense » associées à la sortie d'un outil automatique ne recevront pas de réponse.

Pages associées

Pour les demandes relatives à la vie privée, à la protection des données et aux autorités, contactez [email protected].