Vous avez trouvé quelque chose ? Safe harbour, par écrit.
Trustvice est une plateforme de conformité et de confiance — la barre que nous tenons pour nos clients, nous la tenons pour nous. Si vous trouvez une vulnérabilité, signalez-la de bonne foi à security@trustvice.com et vous êtes protégé : un périmètre défini, un SLA de réponse, et une fenêtre coordonnée de 90 jours avant divulgation publique. Cette page est le compagnon lisible de /.well-known/security.txt.
Safe harbour
Agissez de bonne foi, et nous ne vous poursuivrons pas.
La recherche de sécurité menée sous cette politique est autorisée. Nous n'engagerons ni ne soutiendrons d'action légale contre vous, et nous considérons vos tests comme étant de bonne foi au regard du droit applicable sur l'usage abusif d'ordinateurs et l'anti-contournement, à condition que vous :
- N'accédiez qu'à des données et comptes qui sont les vôtres, ou pour lesquels vous avez une permission explicite de tester.
- Ne preniez pas plus de données que nécessaire pour démontrer le problème, et ne stockiez, partagiez ni n'utilisiez jamais de données clients rencontrées.
- Ne dégradiez pas le service, n'exfiltriciez pas de données, ni ne pivotiez pour attaquer d'autres clients.
- Nous donniez un délai raisonnable (90 jours) pour remédier avant divulgation publique, et coordiniez le calendrier avec nous.
- Respectiez toute la législation applicable.
Si une action légale est engagée contre vous par un tiers pour une activité conforme à cette politique, nous ferons savoir que vos actions étaient autorisées.
Comment signaler
Une boîte. Un humain la lit.
Une description claire du problème et de son impact sécurité.
Reproduction pas à pas — requête/réponse, URL, contexte compte/workspace (utilisez le vôtre).
L'actif affecté (hôte, endpoint ou surface) et l'heure du test (UTC).
Tout code de preuve de concept ou captures — le minimum nécessaire pour démontrer le problème.
Périmètre
Ce qui est dedans, ce qui est dehors.
Dans le périmètre
- www.trustvice.com et le site marketing
- app.trustvice.com — le dashboard client
- api.trustvice.com — la surface gateway / API agentique
- ui.tve.world — l'origine de l'iframe de confirmation MCP Apps (délibérément un domaine enregistrable distinct de trustvice.com, pour qu'aucun cookie de session n'y parvienne)
- Les endpoints /.well-known/* de découverte et de clés cryptographiques
- Authentification (WebAuthn / FIDO2, magic links) et gestion de session
Hors périmètre
- Constats contre nos sous-traitants (Cloudflare, Amazon Web Services, Stripe, fournisseurs de fraude) — signalez-les au fournisseur ; dites-nous si une mauvaise configuration Trustvice en est la cause.
- Tests volumétriques / déni de service, brute force ou de charge.
- Ingénierie sociale du personnel ou des clients, et attaques physiques.
- Rapports de bonnes pratiques sans impact démontré (ex. en-tête manquant, nits SPF/DMARC, divulgation de version) sans exploit concret.
- Spam, self-XSS, ou problèmes exigeant un appareil victime pleinement compromis.
Ce que vous pouvez attendre de nous
Un calendrier, pas un vide.
Accusé sous 2 jours ouvrés
Nous confirmons la réception de votre rapport et lui attribuons une référence de suivi. Un humain lit chaque rapport envoyé à security@trustvice.com.
Triage + sévérité sous 5 jours ouvrés
Nous validons, attribuons une sévérité et vous communiquons notre plan de remédiation. Nous reflétons la discipline de SLA de litige déjà publiée sur /security : critique 24 h · élevé 3 j · moyen 7 j · bas/info 14 j pour la première réponse de fond.
Fenêtre coordonnée de 90 jours
Nous demandons jusqu'à 90 jours pour remédier avant divulgation publique, et nous vous tenons informé de l'avancement. Si un correctif prend plus longtemps, nous convenons d'une prolongation avec vous plutôt que de disparaître.
Crédit, si vous le souhaitez
Avec votre permission nous vous créditons par nom ou handle une fois le correctif publié. Trustvice est pré-revenus et n'opère pas actuellement de bounty payant — c'est un programme de safe harbour et de reconnaissance, dit clairement.
Lisible par machine + lectures complémentaires
Trustvice 360Déclarez les règles. Faites vérifier chaque exécution.
Agents, preuves, gouvernance, commerce et divulgation sont dans Trustvice 360. Inscrivez-vous gratuitement et ouvrez toutes les suites depuis un seul tableau de bord.