Divulgation responsable

Dernière mise à jour : 20 octobre 2026

1. Introduction

Les gens nous confient leurs propres informations, leur écriture manuscrite ainsi que les noms et adresses des personnes à qui ils écrivent. Si vous pensez avoir trouvé une faille de sécurité dans Snailgram, nous voulons le savoir. Cette politique explique comment en signaler une, les règles que nous vous demandons de suivre pendant vos recherches, et ce que nous ferons en retour.

Elle est publiée par AWS, CYY & Co. Pty Ltd (ACN 686 116 245) en qualité de fiduciaire de Mumu, Lulu & Co. (ABN 54 837 123 965), qui exploite Snailgram.

Nous ne proposons pas de programme de primes aux bogues et ne versons pas de récompense pour les signalements. Avec votre autorisation, nous vous remercierons nommément sur cette page une fois le problème corrigé.

2. Périmètre

Cette politique couvre :

• notre site web snailgram.com.au, y compris l’atelier de cartes et le paiement,
• les services qui le soutiennent, qui créent les couvertures, enregistrent les créations et les échantillons d’écriture, et prennent les commandes, et
• les e-mails que nous envoyons au sujet des commandes.

Elle ne couvre pas les services exploités par des tiers que nous utilisons, comme Square, Australia Post, Amazon Web Services, Fastmail ou Google. Veuillez signaler les problèmes concernant ces services au prestataire concerné.

3. Comment signaler

Écrivez à support@snailgram.com.au avec « Security » en objet. Veuillez inclure :

• une description du problème et de l’impact que vous lui attribuez,
• la page, le point d’accès ou la fonctionnalité concernés,
• des instructions étape par étape pour le reproduire, avec tout code de démonstration, capture d’écran ou requête utile, et
• la manière de vous joindre, et si vous souhaitez être remercié nommément.

Si vous trouvez une clé, un mot de passe ou un autre secret exposé, dites-le-nous immédiatement et ne l’utilisez pas. Écrivez en anglais si vous le pouvez.

4. Ce que nous vous demandons

Lorsque vous recherchez et signalez une faille, vous devez :

• tester uniquement avec des commandes, des créations et des échantillons d’écriture qui vous appartiennent, ou dont le propriétaire vous a autorisé l’usage,
• vous arrêter dès que vous accédez à des informations personnelles, des messages, des adresses ou une écriture qui ne sont pas les vôtres, et nous dire ce à quoi vous avez accédé. Ne les copiez pas, ne les conservez pas, ne les modifiez pas, ne les supprimez pas et ne les partagez avec personne,
• ne pas dégrader ni interrompre le site, notamment par des attaques par déni de service, des tests de charge ou des analyses automatisées à grand volume,
• ne pas commander de cartes à destination de quelqu’un sans son consentement, ni contacter nos clients, les personnes à qui ils écrivent ou notre équipe,
• ne pas recourir à l’ingénierie sociale, à l’hameçonnage ou à des attaques physiques contre notre équipe, nos locaux ou nos prestataires,
• ne pas utiliser la carte de paiement ou les informations d’une autre personne,
• ne faire que ce qui est nécessaire pour démontrer l’existence de la faille,
• garder les détails confidentiels jusqu’à ce que nous ayons corrigé le problème, ou jusqu’à 90 jours après votre signalement, selon la première éventualité, sauf accord contraire avec vous, et
• respecter la loi.

5. Ce que nous ferons

Lorsque vous signalez une faille dans le cadre de cette politique, nous :

• accuserons réception de votre signalement sous 2 jours ouvrables,
• vous dirons si nous pouvons reproduire le problème, et vous tiendrons informé de nos avancées,
• nous efforcerons de corriger une faille confirmée sous 90 jours, et plus tôt lorsqu’elle met des informations personnelles en danger, et
• vous dirons quand le problème est corrigé, et vous remercierons nommément si vous nous l’avez demandé.

Si le problème a concerné des informations personnelles, nous l’évaluerons et en informerons les personnes touchées ainsi que l’Office of the Australian Information Commissioner, comme le décrit la section 11 de notre politique de confidentialité.

6. Protection juridique

Si vous agissez de bonne foi et respectez cette politique, nous considérerons vos recherches comme autorisées, n’engagerons aucune action en justice contre vous à ce titre et ne vous dénoncerons pas aux forces de l’ordre. Si quelqu’un d’autre engage une action en justice contre vous pour des recherches conformes à cette politique, nous ferons savoir que nous les avions autorisées.

Cela ne s’applique pas si vous avez enfreint cette politique, accédé à plus que nécessaire, ou demandé un paiement en échange de votre silence sur un problème. Si vous n’êtes pas sûr qu’une action que vous envisagez soit permise, demandez-nous d’abord à support@snailgram.com.au.

7. Ce que nous ne considérons pas comme une faille

Les éléments suivants sont en général hors du champ de cette politique, sauf si vous pouvez démontrer un réel impact sur la sécurité du site ou des personnes qui l’utilisent :

• les rapports d’outils d’analyse automatisés sans preuve de concept fonctionnelle,
• l’absence d’en-têtes de sécurité, d’attributs de cookies ou d’enregistrements d’authentification des e-mails (SPF, DKIM, DMARC) à elle seule,
• le détournement de clic (clickjacking) sur des pages sans action pouvant causer un préjudice,
• le self-XSS, ou les problèmes qui exigent un accès physique à l’appareil déverrouillé de quelqu’un,
• le fait d’amener le générateur de couvertures à produire une image inattendue ou inadaptée, sauf s’il expose les données de quelqu’un d’autre ou contourne le paiement,
• la divulgation de la version d’un logiciel, ou l’absence de limites de débit sur des actions sans conséquence pour la sécurité, et
• le déni de service, et les failles des services tiers énumérés à la section 2.

8. Modifications de cette politique

Nous pouvons modifier cette politique en publiant une nouvelle version sur cette page et en mettant à jour la date en haut. La version publiée au moment de votre signalement s’applique à ce signalement.