Sécurité et signalement de faille

Dans le périmètre

• Le site public et le tableau de bord de Legal (comptes, abonnements, portefeuille, messagerie).
• L’API de Legal : contrôle d’accès, accès à des contenus payants, fuite de données d’autres comptes.
• La vérification d’âge, l’authentification (2FA, passkeys) et la protection des médias.

Hors périmètre

• Les services de tiers (hébergeur, prestataire de paiement, fournisseur de vérification d’âge) : signale-les directement à leurs éditeurs.
• Le déni de service, le spam, l’ingénierie sociale et les attaques physiques.
• Les résultats de scanners automatiques sans démonstration d’un impact réel, et les bonnes pratiques manquantes sans conséquence démontrée.

• Utilise uniquement tes propres comptes de test. N’accède pas aux données d’une autre personne, ne les modifie pas et ne les copie pas au-delà de ce qui prouve la faille.
• Si tu tombes sur des données personnelles ou sur un contenu sensible, arrête-toi, ne le conserve pas et signale-le-nous aussitôt.
• Pas de déni de service, de test de charge, d’ingénierie sociale ni d’attaque visant notre équipe, nos créatrices ou nos membres.
• Garde le secret jusqu’à la correction : pas de publication avant que nous ayons corrigé la faille ou convenu d’une date avec toi.
• Un signalement par faille, avec les étapes pour la reproduire. Les doublons sont remerciés mais ne sont pas récompensés.

Si tu respectes ces règles et que tu agis de bonne foi, nous ne te poursuivrons pas et nous ne te signalerons pas aux autorités pour ces recherches. Nous ferons en sorte que ton travail soit reconnu, si tu le souhaites.

La gravité est évaluée avec une version simplifiée du score CVSS 3.1. Les montants ci-dessous sont des repères : l’équipe fixe la récompense selon l’impact réel, et la verse elle-même, hors de la plateforme. Rien n’est versé automatiquement.

• Tu reçois un numéro de suivi et un code secret : ils te permettent de suivre l’avancement et de joindre des fichiers.
• Une personne de l’équipe analyse ton signalement, évalue la gravité et te répond sur la page de suivi.
• Une fois la faille corrigée, nous te le disons et, si tu y consens, nous inscrivons ton nom dans les remerciements.

Tu peux aussi écrire à security@legalsexe.com. Le fichier security.txt de ce site (RFC 9116) donne les mêmes informations pour les outils automatiques.