Sécurité

Cette traduction est fournie à titre informatif. En cas de divergence avec la version anglaise, celle-ci prévaut, sauf lorsque la loi exige l’application de la version française, notamment pour les consommateurs du Québec.

Dernière mise à jour : 2026-10-31

Nous prenons la sécurité de Soffio au sérieux. Si vous avez découvert une vulnérabilité, veuillez d’abord nous la signaler en privé, afin que nous puissions la corriger avant que d’autres ne puissent l’exploiter.

Signaler une vulnérabilité

Écrivez à [email protected]. Le même contact figure dans getsoffio.app/.well-known/security.txt.

Veuillez indiquer :

• ce que vous avez trouvé et ce qu’un attaquant pourrait en faire,
• la version de Soffio (Réglages > À propos) et votre version de macOS,
• les étapes pour le reproduire, et une preuve de concept si vous en avez une.

Écrivez en anglais ou en italien. Veuillez ne pas signaler de problèmes de sécurité dans des espaces publics comme les réseaux sociaux ou les forums.

Ce qui se passe ensuite

Nous évaluons la gravité au moyen du CVSS et selon l’effet concret du problème sur les utilisateurs. Nous vous tenons informé pendant que nous y travaillons et nous vous prévenons quand la version corrigée est disponible. Ce sont des objectifs, pas des promesses ; nous sommes une entreprise d’une seule personne et nous vous dirons si nous avons besoin de plus de temps.

Divulgation coordonnée

• Veuillez nous laisser 90 jours à compter de votre signalement, ou jusqu’à la publication d’un correctif si elle intervient plus tôt, avant de publier les détails. Si nous avons besoin de plus de temps, nous vous le demanderons en expliquant pourquoi.
• Si le problème est activement exploité, nous pouvons publier un avis plus tôt, avec vous.
• Quand le correctif est publié, nous publions un court avis sur getsoffio.app/security et nous le mentionnons dans les notes de version. Si vous le souhaitez, nous mentionnerons votre nom ou votre pseudonyme ; indiquez-nous comment.
• Nous pouvons demander un identifiant CVE pour les problèmes graves.

Nous n’offrons pas de programme de primes aux bogues (bug bounty) pour le moment.

Engagement de non-poursuite (safe harbour)

Si vous agissez de bonne foi et suivez cette politique, nous n’intenterons aucune action en justice contre vous en raison de vos recherches et ne demanderons à personne d’autre de le faire. La bonne foi signifie que :

• vous testez uniquement sur votre propre Mac, vos propres comptes et vos propres données,
• vous n’accédez pas aux données d’autres personnes, ne les modifiez pas et ne les supprimez pas,
• vous n’attaquez pas notre site web, Polar, Groq ou d’autres services d’une manière qui leur nuit ou nuit à leurs utilisateurs (pas de déni de service, de pourriel ni d’ingénierie sociale),
• vous nous laissez un délai raisonnable pour corriger le problème avant de le publier.

Dans le périmètre

• L’app Soffio, son outil en ligne de commande soffio et son serveur MCP.
• Le flux de mises à jour et les signatures des mises à jour.
• La gestion des licences dans l’app.
• Le site web getsoffio.app.

Hors périmètre

• Les services que nous n’exploitons pas : Groq, Polar, Hugging Face, Ollama, yt-dlp, GitHub, notre hébergeur web. Signalez-les à leurs propriétaires. Nous voulons tout de même savoir si Soffio les utilise d’une manière qui compromet la sécurité.
• Les problèmes qui supposent qu’un attaquant contrôle déjà votre compte utilisateur du Mac avec les mêmes droits que vous, ou qu’il ait un accès physique à un Mac déverrouillé, sauf si Soffio aggrave clairement la situation.
• Le contournement de la licence ou de l’essai sur votre propre Mac. C’est une question de licence, pas une vulnérabilité de sécurité. Vous pouvez quand même nous en parler.
• Les signalements issus d’analyseurs automatiques sans preuve que le problème est réel.
• L’absence, sur le site web, d’en-têtes recommandés par les bonnes pratiques, sans effet réel.

Période de prise en charge

• Chaque version majeure de Soffio reçoit des correctifs de sécurité pendant au moins 2 ans après sa première publication, et pendant au moins 1 an après la sortie de la version majeure suivante, selon la date la plus tardive.
• Les correctifs sont publiés dans la dernière version mineure de cette version majeure (par exemple 1.4.2). Les mises à jour au sein d’une version majeure sont gratuites. Veuillez garder Soffio à jour ; la recherche automatique des mises à jour est le moyen le plus simple.
• Nous annonçons la fin de la prise en charge d’une version majeure au moins 6 mois avant qu’elle ne prenne fin, sur getsoffio.app/security et dans les notes de version de l’app.
• Soffio prend en charge les versions de macOS indiquées sur la page de téléchargement. Quand nous cesserons de prendre en charge une ancienne version de macOS, la dernière version de Soffio pour celle-ci sera nommée dans les notes de version.

Comment les correctifs vous parviennent

Les mises à jour sont distribuées par le programme de mise à jour intégré à l’app (Sparkle). Chaque mise à jour est signée avec notre propre clé, et l’app vérifie la signature avant de l’installer. L’app elle-même est signée avec un Apple Developer ID et notarisée par Apple. Les notes de version indiquent quand une mise à jour contient un correctif de sécurité.

Nomenclature logicielle (SBOM)

Soffio utilise un petit nombre de composants libres. Leurs noms, versions et licences figurent dans le fichier THIRD_PARTY_NOTICES à l’intérieur de l’app et dans Réglages > À propos > Remerciements. Une nomenclature logicielle (SBOM) lisible par machine pour chaque version est disponible sur demande à [email protected].

Coordonnées

[email protected]. Roberto Cinetto, North Vancouver, Colombie-Britannique, Canada.

Le même contact figure dans security.txt.