Sécurité

Chillswitch est exploité par Modernaut LLC. La sécurité est un processus, pas une garantie. Cette page décrit l’architecture actuelle et une procédure de signalement de bonne foi ; elle ne promet pas que le service soit invulnérable.

Protections actuelles

• Chiffrement du transport pour les connexions de l’application et du site.
• Scellement côté client du contenu des alertes de l’application avant qu’il n’atteigne le service.
• Alertes et fins d’alerte signées dans l’application, avec un état « non vérifiée » visible lorsque la validation échoue.
• Protection des clés de l’appareil par le matériel lorsqu’il le permet, avec un signalement honnête de la solution de repli.
• Champs sensibles de la base de données chiffrés et hachages à clé permettant les rapprochements sans recherche courante en clair.
• Limites de débit, blocage de comptes, suivi de l’état des envois, gestion des messages non remis et événements d’audit de sécurité minimaux et hachés.

Limites importantes

Le serveur ne peut pas lire le contenu scellé des alertes de l’application, mais il traite les relations entre comptes, les calendriers, l’acheminement, l’envoi, le réseau, le consentement, la facturation et les métadonnées de sécurité. Les SMS ne sont pas chiffrés de bout en bout et sont visibles par Modernaut, Twilio, les opérateurs et les appareils des destinataires. Un appareil déverrouillé ou compromis peut exposer des clés et des données visibles. Aucun canal de notification n’est garanti.

Signaler une vulnérabilité

Écrivez à [email protected] avec une description concise, l’URL ou la version de l’application concernée, les étapes pour reproduire le problème, son impact et un moyen sûr de vous joindre. N’incluez pas de vrais codes de récupération, de clés privées, de numéros de téléphone, de jetons d’achat, de position ni de contenu appartenant à une autre personne.

Recherche de bonne foi

Utilisez des comptes de test et le minimum d’essais nécessaire pour démontrer un problème. N’accédez pas aux données d’une autre personne, n’employez pas l’ingénierie sociale, ne réalisez pas de tests de déni de service ou à fort volume, ne dégradez pas l’envoi des confirmations ou des alertes, n’envoyez pas de SMS sans consentement, ne contournez pas les limites de débit, ne conservez pas de données et ne divulguez pas publiquement un problème non résolu avant que Modernaut ait eu une possibilité raisonnable de l’examiner.

Lorsque la recherche est menée de bonne foi dans ces limites, Modernaut n’a pas l’intention de recommander des poursuites judiciaires au seul motif de cette recherche. Cette déclaration n’autorise pas les comportements illégaux, ne lie pas les tiers, ne constitue pas un programme de primes aux bogues et ne renonce à aucun droit en cas d’atteinte à la vie privée, d’extorsion, de destruction de données ou de perturbation du service.

Réponse et divulgation

Nous accuserons réception des signalements et les trierons selon nos capacités opérationnelles, en les hiérarchisant selon leur impact sur les utilisateurs, et nous coordonnerons de bonne foi la correction et la divulgation. Nous ne promettons aucun délai fixe de réponse ou de correction. En cas d’exposition urgente de données réelles d’utilisateurs, indiquez-le clairement dans l’objet, sans inclure les données elles-mêmes.

Autres informations

Consultez la Politique de confidentialité pour le traitement des données et Connaître les limites pour les limites d’envoi et d’appareil.