Comment nous la signaler
Écrivez à contact@klystor.app en commençant l'objet par [Sécurité], ou utilisez le formulaire de contact avec le sujet « Faille de sécurité ». Pour nous aider, indiquez :
- la version de Klystor et le système (macOS, Windows ou Linux), ou la page du site concernée ;
- les étapes pour reproduire le problème, et une preuve si possible (capture, extrait de journal) ;
- l'impact que vous envisagez : ce qu'un attaquant pourrait lire, modifier ou supprimer.
Notre engagement
- Accusé de réception sous 3 jours ouvrés, puis des nouvelles à chaque étape.
- Correction en priorité, publiée dans une mise à jour signée ; nous convenons avec vous de la date de publication des détails.
- Remerciements dans les notes de version, si vous le souhaitez.
- Aucune poursuite pour une recherche menée de bonne foi dans le respect des règles ci-dessous.
Règles de bonne foi
- Testez uniquement sur votre propre ordinateur et vos propres données.
- N'accédez pas aux données d'autres personnes et ne les conservez pas ; arrêtez-vous dès que la faille est démontrée.
- Ne perturbez pas le site : pas de déni de service, pas d'envoi massif par les formulaires, pas d'analyse automatique intensive.
- Ne publiez rien avant la correction.
Périmètre
Concernés : l'application Klystor (macOS, Windows, Linux), son système de mise à jour, et le site klystor.app avec ses formulaires.
Hors périmètre : les rapports d'outils automatiques sans impact démontré, les attaques qui supposent un ordinateur déjà compromis ou un accès physique, et les services tiers (hébergeur, paiement), à signaler directement à leurs éditeurs.
Ce que Klystor fait déjà
- Mises à jour signées : chaque mise à jour est vérifiée par l'application avant d'être installée.
- Application macOS signée et notarisée par Apple.
- Empreintes SHA-256 publiées pour chaque fichier, pour vérifier un téléchargement (guide d'installation).
- Rien ne quitte votre ordinateur : l'analyse se fait sur place, et le nettoyage passe par la Corbeille par défaut.
Pour les outils automatiques, ces informations existent aussi au format standard : security.txt.