Politique de divulgation des vulnérabilités

Si vous avez trouvé un problème de sécurité dans fremforge, cette page vous explique comment le signaler, ce qui entre dans le périmètre, ce qui n’y entre pas, et ce que nous nous engageons à faire en retour. Nous suivons l’ISO/IEC 29147 (divulgation des vulnérabilités) et la RFC 9116 (security.txt).

L’équivalent lisible par machine de cette page se trouve à /.well-known/security.txt sur chaque domaine exploité par fremforge. Les chercheurs et les outils automatisés devraient utiliser ce point de terminaison ; cette page existe pour les personnes qui arrivent depuis un résultat de recherche.

Comment signaler

• E-mail : security@frem.sh (empreinte de la clé PGP indiquée dans security.txt).
• Canal privilégié : e-mail chiffré. L’e-mail en clair est accepté ; le TLS SMTP vers mailbox.org est obligatoire à la livraison.
• Délai d’accusé de réception visé : sous 24 heures.
• Délai de tri visé : sous 5 jours ouvrés, nous vous envoyons notre évaluation de la gravité, le délai de correction prévu et une référence de suivi.

Merci de ne pas ouvrir de tickets publics sur frem.sh ni de publier de détails sur les réseaux sociaux ou les forums tant que nous n’avons pas convenu ensemble d’une date de divulgation.

Ce qui entre dans le périmètre

• frem.sh et chaque sous-domaine que nous exploitons (*.frem.sh).
• fremverk.com et *.fremverk.com.
• Les images de conteneurs que fremforge publie (l’image du runner hébergé et les images de la plateforme).
• Les problèmes dans l’API destinée aux clients de fremforge, dans l’interface d’administration ou dans les runners CI.

Ce qui est hors périmètre (et ne sera pas récompensé)

• Les découvertes dans du contenu appartenant aux clients : code, secrets, fichiers dans les dépôts des tenants. Signalez-les directement au tenant ; il s’agit d’un incident côté client.
• Les vulnérabilités de nos dépendances open source en amont (par exemple une CVE dans forgejo lui-même). Merci de les signaler au programme de divulgation du projet amont. Nous les suivons et les corrigeons une fois la CVE publique.
• Les problèmes nécessitant un accès physique, de l’ingénierie sociale visant le personnel de fremverk, ou des services tiers sur le même réseau que les utilisateurs de fremforge.
• Les signalements fondés sur des informations périmées (par exemple une capture d’écran d’une ancienne page d’administration antérieure à une migration publique).
• Les remarques de « bonnes pratiques » sans scénario exploitable (par exemple « vous devriez ajouter l’en-tête X ») : utiles, mais ce ne sont pas des vulnérabilités.
• Les signalements de DDoS, de force brute ou de contournement de limite de débit. Il s’agit de réglage d’infrastructure, pas de failles de sécurité.

Délai de correction (SLA)

Le délai court à partir de notre accusé de réception.

Les calendriers de divulgation peuvent être prolongés d’un commun accord (par exemple lorsque le correctif exige une action du client qui prend du temps).

Safe harbour

Nous n’engagerons aucune action civile ou pénale contre vous, et ne déposerons aucune plainte, lorsque vos recherches sont menées de bonne foi et que vous :

• n’accédez pas à des données qui ne vous appartiennent pas, ne les modifiez pas et ne les supprimez pas. Utilisez des comptes de test autant que possible ;
• ne dégradez pas le service pour les autres utilisateurs : pas de DoS, pas d’analyse à fort volume, pas de force brute automatisée ;
• n’exfiltrez pas plus de données que nécessaire pour démontrer l’impact. Quelques octets suffisent ; nous n’avons pas besoin de la base de données ;
• signalez le problème en privé à security@frem.sh et nous laissez un délai raisonnable pour le corriger avant de le rendre public ;
• respectez le droit applicable dans la juridiction depuis laquelle vous opérez.

Les recherches menées de bonne foi dans ces conditions sont autorisées au titre du Computer Misuse Act 1990 §17(5)(c) (Royaume-Uni), de l’exception « research » du Computer Fraud and Abuse Act 18 U.S.C. §1030(f) (le cas échéant) et de leurs équivalents dans les États membres de l’UE. Lorsque le droit local exige une autorisation explicite, cette page constitue cette autorisation.

Programme de bug bounty

Nous ne proposons pas actuellement de programme de bug bounty rémunéré. Nous tenons en revanche un tableau d’honneur public des chercheurs qui signalent des problèmes vérifiés et acceptent d’être nommés, et nous envoyons un pack de remerciement aux couleurs de fremverk (t-shirt, pin’s, lot d’autocollants) pour tout signalement dont nous livrons le correctif.

Nous prévoyons de formaliser un programme rémunéré lorsque fremforge aura franchi le seuil de clients où cela a du sens pour les deux parties ; c’est actuellement prévu pour le second semestre 2026.

Historique des divulgations publiques

Lorsque nous livrons le correctif d’un problème signalé, nous publions un court post-mortem sur la page de statut en citant l’auteur du signalement (s’il y a consenti). Un index dédié des avis de sécurité sera publié à cette URL après le lancement.

Voir aussi

• security.txt : la version lisible par machine de cette page.
• Intégrité de la chaîne d’audit : contexte utile pour les signalements du type « le journal d’audit ne peut être rejoué par personne ».
• Transfert vers un SIEM : contexte utile pour les signalements du type « le client ne peut pas voir l’événement ».