Politique de sécurité
Date de prise d'effet : 1er janvier 2026 · Dernière mise à jour : 21 mai 2026
Nous prenons la sécurité d'AgileDeck au sérieux. Cette page décrit comment signaler les vulnérabilités et ce que vous pouvez attendre de nous.
Divulgation responsable
Si vous pensez avoir trouvé une vulnérabilité de sécurité, nous vous encourageons à nous en informer. Nous nous engageons à travailler avec vous pour vérifier et résoudre le problème.
Envoyez-nous un e-mail
Envoyez un rapport détaillé à support@agiledeck.org. Chiffrez les rapports sensibles avec notre clé PGP.
Inclure les étapes de reproduction
Fournissez une description claire, les étapes de reproduction et l'impact potentiel.
Recevoir un accusé de réception
Nous accuserons réception de votre rapport dans les 48 heures et fournirons un calendrier de correction.
Crédits et remerciements
Avec votre permission, nous vous créditerons publiquement une fois le problème résolu.
Portée
Les actifs suivants sont dans le champ d'application des rapports de vulnérabilité :
Dans le champ
- agiledeck.org et sous-domaines
- Application web AgileDeck
- Authentification et gestion de session
- Points de terminaison API
- Hubs SignalR en temps réel
Hors champ
- Services tiers / fournisseurs de CDN
- Attaques par déni de service
- Sécurité physique
- Ingénierie sociale
- Campagnes de spam ou de phishing
Nos pratiques de sécurité
- Toutes les données en transit sont chiffrées via TLS 1.2+
- Les mots de passe sont hachés avec ASP.NET Core Identity (PBKDF2 + sel)
- Protection CSRF sur toutes les requêtes via des jetons anti-falsification
- Requêtes paramétrées via Entity Framework Core
- Analyse des dépendances et alertes automatisées de vulnérabilité
- Limitation du débit sur les points de terminaison d'authentification
- Tests de pénétration réguliers par des tiers
- Les jetons d'API tiers (Atlassian/Bitbucket) sont chiffrés au repos à l'aide de l'API de protection des données ASP.NET Core. Les jetons ne sont déchiffrés côté serveur qu'au moment d'une synchronisation.
- Authentification à deux facteurs (TOTP) disponible pour tous les comptes utilisateur
- Images de profil redimensionnées et stockées côté serveur ; jamais accessibles aux autres équipes
Clé publique PGP
Pour les divulgations sensibles, veuillez chiffrer votre e-mail en utilisant notre clé PGP :