Politique de divulgation des vulnérabilités

Dernière mise à jour : 24 septembre 2026 · Version 1.0.0

Cette politique explique comment signaler une vulnérabilité dans les services SwiftQuantum, ce que nous vous demandons pendant vos recherches et ce que vous pouvez attendre de nous. SwiftQuantum est exploité par SwiftQuantum Technologies, LLC, limited liability company de droit du Delaware (États-Unis). Les signalements sont lus et traités par le fondateur lui-même ; les délais ci-dessous en tiennent compte.

Une version lisible par machine de nos coordonnées est publiée à l'adresse /.well-known/security.txt (RFC 9116).

1. Comment signaler

Écrivez à security@swiftquantum.tech en indiquant si possible :

• le produit, l'URL, le point d'accès d'API ou l'application concernés, et la version de l'application ;
• une description du problème et de son impact probable ;
• les étapes pour le reproduire et, si vous en avez une, une preuve de concept (captures d'écran, requêtes HTTP, court script) ;
• si vous avez consulté, modifié ou conservé des données, et lesquelles ;
• si et comment vous souhaitez être remercié publiquement.

Les signalements peuvent être rédigés en anglais ou en coréen. Si vous devez transmettre des éléments sensibles, indiquez-le d'abord ; nous conviendrons d'un moyen d'échange. Nous ne publions pas de clé PGP pour le moment.

Merci de ne pas signaler de vulnérabilités par les avis sur l'App Store, les réseaux sociaux, des issues GitHub publiques ou le support général.

2. Périmètre

Dans le périmètre

• les applications web et sites sur swiftquantum.tech et ses sous-domaines (*.swiftquantum.tech), y compris ce site ;
• les API servies depuis *.swiftquantum.tech, y compris le service d'authentification et la SwiftQuantum Legal API ;
• les applications iOS, iPadOS, macOS et visionOS publiées par SwiftQuantum sur l'App Store d'Apple : SwiftQuantum, QuantumNative, Q-Bridge, QuantumCareer, Q-Alpha, Q-Shield, Q-Logos et Q-Bio Genesis ;
• les paquets open source publiés sous l'organisation SwiftQuantum, lorsque le problème affecte leurs utilisateurs.

Hors périmètre

• les services de tiers que nous utilisons, tels qu'Amazon Web Services, Stripe, Apple, OpenAI, Anthropic, IBM Quantum ou notre fournisseur de messagerie ; signalez-les directement au fournisseur. Un défaut dans notre configuration ou notre intégration de ces services reste dans le périmètre ;
• les constats supposant un appareil rooté ou jailbreaké, un accès physique à l'appareil déverrouillé d'une victime ou un navigateur déjà compromis ;
• l'absence d'en-têtes de sécurité, d'attributs de cookies ou de réglages TLS sans exploitation démontrée ;
• le clickjacking sur des pages sans action modifiant un état, le CSRF de déconnexion et le self-XSS ;
• les résultats d'outils d'analyse automatique sans impact vérifié ;
• les constats de limitation de débit ou de force brute sans voie réaliste vers une prise de contrôle de compte ou une fuite de données ;
• les constats de configuration de messagerie (SPF, DKIM, politique DMARC) sans usurpation démontrée ;
• les vulnérabilités propres à des navigateurs ou systèmes qui ne sont plus pris en charge par leur éditeur.

En cas de doute sur le périmètre, signalez quand même en le précisant.

3. Ce que nous vous demandons de ne pas faire

• Pas de déni de service. Pas de tests de charge, d'inondation ni de quoi que ce soit qui dégrade le service pour les autres ; ne remplissez ni stockage ni files d'attente.
• Pas d'accès aux données au-delà de la preuve. Si vous atteignez des données personnelles, arrêtez-vous, ne les copiez ni ne les conservez, et décrivez dans votre signalement ce que vous avez vu. N'utilisez que des comptes que vous avez créés ou dont le titulaire a donné son accord.
• Pas d'ingénierie sociale visant nos utilisateurs, le fondateur ou nos prestataires, et pas d'hameçonnage.
• Pas d'attaque physique contre des bureaux, domiciles ou équipements.
• Ne modifiez ni ne supprimez des données qui ne sont pas les vôtres, et ne conservez aucun accès (porte dérobée, session persistante, web shell) après avoir confirmé un problème.
• N'utilisez pas les ressources payantes d'autrui, par exemple en soumettant des tâches sur du matériel quantique ou des requêtes d'IA avec des identifiants qui ne sont pas les vôtres.
• Ne divulguez pas le problème publiquement ni à des tiers avant sa correction ou avant la date convenue selon la section 5.

4. Sphère de sécurité (safe harbor)

Nous considérons comme autorisée toute recherche menée de bonne foi dans le respect de cette politique. En particulier :

• nous n'engagerons pas d'action en justice contre vous et ne demanderons pas aux autorités de poursuivre, pour une recherche conforme à cette politique, y compris sur le fondement de lois relatives à l'accès non autorisé aux systèmes informatiques (telles que la loi coréenne sur les réseaux d'information et de communication ou le Computer Fraud and Abuse Act américain) ou au contournement de mesures techniques de protection ;
• nous ne traiterons pas une telle recherche comme une violation de nos Conditions d'utilisation dans la mesure où elle serait en conflit avec elles ;
• si un tiers engage une action contre vous au sujet d'une recherche conforme à cette politique, nous ferons savoir que votre activité était autorisée par nous.

Cette protection ne vaut que pour les systèmes et activités couverts par cette politique. Elle n'engage pas les tiers et nous ne pouvons pas autoriser des tests sur des systèmes qui ne nous appartiennent pas. En cas de doute, écrivez d'abord à security@swiftquantum.tech.

5. Ce que vous pouvez attendre de nous

SwiftQuantum est géré par une seule personne. Les objectifs suivants sont des engagements de moyens et non des garanties :

Nous vous tiendrons informé, vous préviendrons lorsque le problème sera corrigé et vous demanderons votre accord avant de vous citer. Merci de nous laisser jusqu'à 90 jours à compter de votre signalement avant toute divulgation publique. S'il nous faut plus de temps, nous vous en expliquerons la raison et conviendrons d'une date avec vous.

Si un signalement indique que des données personnelles ont pu être exposées, nous le traiterons conformément à notre Politique de confidentialité et aux obligations légales de notification, indépendamment du calendrier ci-dessus.

6. Pas de programme de prime

Nous n'avons pas de programme de bug bounty et ne rémunérons pas les signalements. Avec votre accord, nous vous remercierons publiquement une fois le problème corrigé. Exiger un paiement comme condition de la divulgation des détails n'est pas un signalement de bonne foi au sens de cette politique.

7. Documents liés

• Politique de confidentialité
• Sous-traitants ultérieurs
• Accord de traitement des données
• Conditions d'utilisation

8. Modifications

Nous pouvons modifier cette politique. Le numéro de version et la date ci-dessus changent à chaque mise à jour ; la version en vigueur le jour de votre signalement continue de s'appliquer à celui-ci.

Cette politique est publiée en plusieurs langues. En cas de divergence, la version anglaise prévaut.