Politique de sécurité
Vous avez trouvé un problème de sécurité dans Bluesky.bot ? Merci de nous le dire. Signalez-le en privé, pour que nous puissions protéger les créateurs de bots avant que quoi que ce soit ne soit rendu public.
Signaler une vulnérabilité
Écrivez à [email protected], en anglais ou en français.
N'ouvrez pas d'issue, de publication ni de discussion publique sur un problème de sécurité.
Merci d'inclure :
- une description du problème et de son impact ;
- les étapes pour le reproduire ou une preuve de concept ;
- les URL, routes ou fichiers concernés ;
- tout correctif suggéré.
N'incluez pas de vraies données d'utilisateurs ni d'identifiants actifs dans le signalement.
À quoi s'attendre
- Accusé de réception sous 72 heures.
- Une première évaluation sous 7 jours.
- Un correctif, puis une divulgation publique coordonnée avec vous une fois les utilisateurs protégés. Vous êtes crédité si vous le souhaitez.
Périmètre
- L'application web sur bluesky.bot et la résolution des handles *.bluesky.bot (/.well-known/atproto-did)
- La connexion OAuth Bluesky et la gestion des sessions
- L'API publique, le back-office d'administration et le service de labels
Hors périmètre : le déni de service par le volume, l'ingénierie sociale et les problèmes des services tiers (Bluesky, Cloudflare), à signaler directement à leurs équipes.
Versions prises en charge
Seul le déploiement de production actuel sur bluesky.bot reçoit des correctifs de sécurité.
Contact lisible par les machines
Le même contact est publié dans /.well-known/security.txt (RFC 9116).