1. Signaler une faille de sécurité
Écrivez à l'adresse de signalement indiquée dans le fichier /.well-known/security.txt de nos sites (norme RFC 9116) — à la date de la présente version, contact@omnifloo.com, avec le mot « Sécurité » en objet — en décrivant la faille, l'élément concerné (plateforme Omnifloo, magasin, application précise et sa version), les étapes pour la reproduire et son impact. Si une adresse dédiée est ouverte, elle remplace celle-ci dans security.txt, et les messages envoyés à l'ancienne adresse continuent d'être traités.
Pour une faille dans une application d'un éditeur partenaire, vous pouvez aussi utiliser le lien « Signaler cette application » de sa fiche ; nous transmettons à l'éditeur ce qui est nécessaire à la correction.
2. Nos engagements
- accusé de réception sous 5 jours ouvrés ;
- première évaluation de la gravité sous 10 jours ouvrés, et informations sur l'avancement ;
- correction ou mesure de protection (y compris retrait d'une application) dès que possible, en priorité pour les failles graves ;
- mention de votre contribution, si vous le souhaitez, une fois la faille corrigée.
3. Recherche de bonne foi
Nous n'engagerons aucune action contre une personne qui, de bonne foi : nous signale une faille sans l'avoir exploitée au-delà du nécessaire pour la démontrer ; n'accède pas aux données d'autrui, ne les modifie pas, ne les conserve pas ; n'interrompt pas le service (pas de déni de service, pas d'hameçonnage, pas d'ingénierie sociale) ; nous laisse un délai raisonnable, 90 jours par défaut, avant toute publication. Utilisez uniquement vos propres comptes et espaces de test.
4. Signaler un contenu illicite ou une application dangereuse
Chaque fiche du magasin comporte un formulaire « Signaler cette application » : motif, explication précise, adresse exacte de l'élément, nom et e-mail, déclaration de bonne foi. Nous accusons réception, examinons le signalement avec l'intervention d'une personne, et vous informons de notre décision motivée et des recours possibles. Nous signalons aux autorités compétentes toute information laissant soupçonner une infraction menaçant la vie ou la sécurité des personnes.
5. Ce que nous faisons pour prévenir les risques
- analyse automatique de chaque dépôt partenaire à la soumission, à chaque nouveau commit et chaque jour ;
- installation d'essai isolée, sans Internet ; publication du seul commit vérifié, après décision humaine ;
- double authentification exigée des comptes éditeurs ; identification des éditeurs ;
- retrait d'urgence possible à tout moment, avec information de l'éditeur et des clients concernés.
6. Données des signalements
Les informations fournies servent uniquement au traitement du signalement et sont conservées trois ans après sa clôture. L'identité du déclarant n'est pas communiquée à l'éditeur, sauf obligation légale.