Sécurité
Sécurité et divulgation
Comment signaler une vulnérabilité, ce que rapporte une découverte et à quoi nous nous engageons ensuite.
Open source, et une faille trouvée est rémunérée
PrivaMesh repose sur des primitives bien étudiées - X3DH, le Double Ratchet, AES-256-GCM et ML-KEM-768 sous iOS 26. Le code qui les met en œuvre est public pour les trois clients, si bien que chacun peut lire exactement ce qu'il fait au lieu de croire une description sur parole.
Une faille qu'on y trouve vaut jusqu'à 500 $US via le bug bounty.
Signaler une vulnérabilité
Écrivez à privamesh@proton.me avec security dans l'objet.
- Indiquez la version de l'app, le modèle de votre appareil et votre version d'iOS.
- Donnez assez de détails pour reproduire le problème.
- N'envoyez jamais votre phrase de récupération. Nous ne la demanderons jamais, pour aucune raison, dans aucun contexte.
Nos engagements
- Accusé de réception sous 2 jours ouvrés. Sans réponse de notre part, considérez que le message s'est perdu et renvoyez-le.
- Un correctif ou un plan sous 30 jours pour tout ce qui permet de lire des messages, d'usurper un compte ou de relier un utilisateur à son activité.
- Un crédit si vous le souhaitez, le silence sinon. Nous ne vous nommerons pas sans vous demander.
- Aucune menace juridique pour une recherche de bonne foi qui ne vise pas les comptes ou les données d'autrui.
Récompenses
Les découvertes confirmées sont payées via le programme de bug bounty - jusqu'à 500 $US pour une vulnérabilité critique, et le paiement intervient à la confirmation, pas au correctif. Les niveaux, le périmètre et les problèmes connus qui ne sont pas éligibles y sont tous publiés, car un programme qui paie discrètement pour ses propres lacunes documentées n'en est pas un.
Versions prises en charge
Les correctifs de sécurité arrivent dans la prochaine version sur l'App Store. PrivaMesh fonctionne sous iOS 18 ou ultérieur et n'a publié qu'une version majeure, il n'y a donc pas de branche plus ancienne vers laquelle rétroporter. Quand cela changera, la période de prise en charge sera indiquée ici plutôt que sous-entendue.
Ce qui a été corrigé
Depuis août 2026, il y a eu douze signalements externes et deux audits internes. Les correctifs sont prêts, mais aucun n'est encore sur votre téléphone : la 1.1, la version sur l'App Store, a été compilée le 13 août, avant leur écriture, et ils parviendront aux utilisateurs avec la prochaine version. D'ici là, considérez que l'app publiée présente les problèmes qu'ils corrigent. Ce qui a été documenté au lieu d'être corrigé figure dans les limites connues. Qui a signalé quoi n'est pas publié.
Périmètre
Le client iOS, le protocole on-chain et le service de frais décrits sur la page d'architecture sont tous dans le périmètre. L'infrastructure tierce - Solana elle-même, les fournisseurs RPC, Apple - n'est pas à nous de corriger, mais nous voulons en entendre parler. Pour les limites de ce que la conception protège, voir le modèle de menace et les limites connues.
Questions fréquentes
Comment signaler une vulnérabilité ?
Écrivez à privamesh@proton.me avec « security » dans l'objet. Indiquez la version de l'app, votre appareil et votre version d'iOS, ainsi qu'assez de détails pour reproduire. Nous visons un accusé de réception sous 2 jours ouvrés.
Y a-t-il un bug bounty ?
Oui. Jusqu'à 500 $US pour une découverte critique, 200 $US pour élevée, 75 $US pour moyenne, 25 $US pour faible, la gravité étant définie par ce que la découverte casse dans notre modèle de menace. Tous les niveaux, le périmètre et les exclusions sont sur la page du bug bounty.
Quelles versions reçoivent les correctifs de sécurité ?
Les correctifs arrivent dans la prochaine version sur l'App Store. PrivaMesh n'a publié qu'une seule version majeure, il n'y a donc pas encore de branche plus ancienne vers laquelle rétroporter.