Divulgation responsable

Comment signaler

E-mail contact@aiactivesupport.com avec « Security report » dans l’objet. Merci d’indiquer :

• ce que vous avez trouvé et où (URL, point d’API, fonctionnalité) ;
• les étapes pour le reproduire, et ce qu’un attaquant pourrait en faire ;
• votre nom ou pseudonyme si vous souhaitez être crédité.

Merci de ne pas ouvrir de ticket public ni de partager les détails avant que nous l’ayons corrigée.

Ce que vous pouvez attendre

• Une réponse d’une personne confirmant la réception de votre signalement.
• Des nouvelles pendant l’analyse et la correction, et un message une fois corrigée.
• Un crédit pour votre découverte, si vous le souhaitez, une fois corrigée.

Nous n’avons pas de programme de bug bounty rémunéré pour le moment.

Concerné

• Ce site et le portail AI Active Support (/app, /admin, /agent), ainsi que leurs API.
• Le widget de chat et les webhooks reçus par AI Active Support (e-mail, Shopify, Stripe, WhatsApp, Instagram, Messenger).
• Avant tout : ce qui permettrait à une marque de voir les données d’une autre, ou à une personne d’agir au-delà de son rôle.

Merci de ne pas

• accéder à des données qui ne sont pas les vôtres, ni les modifier ou les supprimer : utilisez votre propre compte et organisation de test ;
• lancer de tests de déni de service, de charge ou de spam, ni envoyer de messages à de vrais clients ;
• recourir à l’ingénierie sociale, à l’hameçonnage ou à des attaques physiques contre notre équipe ou nos clients ;
• tester l’infrastructure de nos fournisseurs (Vercel, Supabase, Stripe, Shopify, Meta) via AI Active Support : signalez-leur directement.

Généralement non retenu

• Les rapports d’outils automatiques sans impact démontré.
• L’absence d’en-têtes ou de réglages recommandés sans conséquence exploitable.
• Des limites de débit jugées trop permissives, ou du self-XSS.