Sécurité

Cette traduction est fournie à titre de commodité. En cas de différence avec la version anglaise, la version anglaise prévaut.

Dernière mise à jour : [DATE]

Nous prenons la sécurité de Soffio au sérieux. Si vous avez trouvé une vulnérabilité, signalez-la-nous d’abord en privé, afin que nous puissions la corriger avant que d’autres ne puissent l’exploiter.

Signaler une vulnérabilité

Écrivez à security@getsoffio.app. Le même contact figure dans getsoffio.app/.well-known/security.txt. [Clé PGP : facultative, voir les points ouverts.]

Veuillez indiquer :

• ce que vous avez trouvé et ce qu’un attaquant pourrait en faire,
• la version de Soffio (Réglages > À propos) et votre version de macOS,
• les étapes pour le reproduire, et une preuve de concept si vous en avez une.

Écrivez en anglais ou en italien. Veuillez ne pas signaler de problèmes de sécurité dans des lieux publics comme les réseaux sociaux ou les forums.

Ce qui se passe ensuite

Nous évaluons la gravité avec le CVSS et selon l’effet du problème sur les utilisateurs réels. Nous vous tenons informé pendant que nous y travaillons et nous vous prévenons quand la version corrigée est disponible. Ce sont des objectifs, pas des promesses ; nous sommes une entreprise d’une seule personne et nous vous dirons si nous avons besoin de plus de temps.

Divulgation coordonnée

• Veuillez nous laisser 90 jours à compter de votre signalement, ou jusqu’à la publication d’un correctif si c’est plus tôt, avant de publier les détails. Si nous avons besoin de plus de temps, nous vous le demanderons en expliquant pourquoi.
• Si le problème est activement exploité, nous pouvons publier un avis plus tôt, avec vous.
• Quand le correctif est publié, nous publions un court avis sur getsoffio.app/security et nous le mentionnons dans les notes de version. Nous vous citerons par votre nom ou votre pseudonyme si vous le souhaitez ; dites-nous comment.
• Nous pouvons demander un identifiant CVE pour les problèmes graves.

Il n’y a pas de prime aux bogues (bug bounty) payante pour le moment.

Refuge sûr (safe harbour)

Si vous agissez de bonne foi et suivez cette politique, nous n’engagerons aucune action en justice contre vous pour vos recherches, et nous ne demanderons à personne d’autre de le faire. La bonne foi signifie que :

• vous testez uniquement sur votre propre Mac, vos propres comptes et vos propres données,
• vous n’accédez pas aux données d’autres personnes, ne les modifiez pas et ne les supprimez pas,
• vous n’attaquez pas notre site web, Polar, Groq ou d’autres services d’une manière qui leur nuit ou nuit à leurs utilisateurs (pas de déni de service, de pourriel ni d’ingénierie sociale),
• vous nous laissez un délai raisonnable pour corriger le problème avant de le publier.

Dans le périmètre

• L’app Soffio, son outil en ligne de commande soffio et son serveur MCP.
• Le flux de mises à jour et les signatures des mises à jour.
• La gestion des licences dans l’app.
• Le site web getsoffio.app.

Hors périmètre

• Les services que nous n’exploitons pas : Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, notre hébergeur web. Signalez-les à leurs propriétaires. Nous voulons tout de même savoir si Soffio les utilise de manière non sécuritaire.
• Les problèmes qui exigent qu’un attaquant contrôle déjà votre compte utilisateur du Mac avec les mêmes droits que vous, ou qu’il ait un accès physique à un Mac déverrouillé, sauf si Soffio aggrave clairement la situation.
• Le contournement de la licence ou de l’essai sur votre propre Mac. C’est une question de licence, pas une vulnérabilité de sécurité. Vous pouvez quand même nous en parler.
• Les signalements issus d’analyseurs automatiques sans preuve que le problème est réel.
• Les en-têtes de bonnes pratiques manquants sur le site web sans impact réel.

Période de support

• Chaque version majeure de Soffio reçoit des correctifs de sécurité pendant au moins 2 ans après sa première publication, et pendant au moins 1 an après la sortie de la version majeure suivante, selon la date la plus tardive.
• Les correctifs sont publiés dans la dernière version mineure de cette version majeure (par exemple 1.4.2). Les mises à jour au sein d’une version majeure sont gratuites. Veuillez garder Soffio à jour ; la recherche automatique des mises à jour est le moyen le plus simple.
• Nous annonçons la fin du support d’une version majeure au moins 6 mois avant qu’elle ne prenne fin, sur getsoffio.app/security et dans les notes de version de l’app.
• Soffio prend en charge les versions de macOS indiquées sur la page de téléchargement. Quand nous cesserons de prendre en charge une ancienne version de macOS, la dernière version de Soffio pour celle-ci sera nommée dans les notes de version.

Comment les correctifs vous parviennent

Les mises à jour sont livrées par le programme de mise à jour intégré à l’app (Sparkle). Chaque mise à jour est signée avec notre propre clé, et l’app vérifie la signature avant de l’installer. L’app elle-même est signée avec un Apple Developer ID et notarisée par Apple. Les notes de version indiquent quand une mise à jour contient un correctif de sécurité.

Nomenclature logicielle (SBOM)

Soffio utilise un petit nombre de composants libres. Leurs noms, versions et licences figurent dans le fichier THIRD_PARTY_NOTICES à l’intérieur de l’app et dans Réglages > À propos > Remerciements. Une nomenclature logicielle (SBOM) lisible par machine pour chaque version est disponible sur demande à security@getsoffio.app. [Ou : publiée à getsoffio.app/security/sbom.json, voir les points ouverts.]

Contact

security@getsoffio.app. Roberto Cinetto, [ADDRESS], [PROVINCE], Canada.

Le même contact figure dans security.txt.