Signaler une vulnérabilité

Ce que couvre cette politique

Cette page décrit comment signaler une faille de sécurité concernant menlo-capital.com et les services que Menlo Capital expose publiquement. Elle est référencée par le champ Policy du fichier /.well-known/security.txt, conformément à la RFC 9116.

Menlo Capital est une holding de petite taille : il n'y a pas d'équipe de sécurité d'astreinte. L'engagement porte sur la réponse et la correction, pas sur un délai en heures.

Comment signaler

Par le formulaire de contact de ce site, en indiquant « sécurité » en objet. Le message arrive dans la même boîte que le reste, et il est traité en priorité.

Décrivez la vulnérabilité, l'URL ou le composant concerné, et les étapes permettant de la reproduire. Une capture ou une requête suffit le plus souvent.

Écrire à Menlo

Notre engagement

Accusé de réception sous 3 jours ouvrés. Une évaluation de la recevabilité et de la gravité sous 10 jours ouvrés. Une correction dans un délai proportionné à la gravité, et une information du rapporteur à la clôture.

Aucune poursuite ne sera engagée contre une personne qui respecte cette politique, agit de bonne foi et ne dégrade ni le service ni les données.

Périmètre et limites

Dans le périmètre : menlo-capital.com et menlo-capital.fr, qui servent le même site, ainsi que leurs sous-domaines, y compris les en-têtes de sécurité, la configuration TLS et les dépendances du site.

Hors périmètre : les tests de déni de service, l'ingénierie sociale visant des personnes, le spam de formulaires, et les rapports issus d'un scanner automatique sans démonstration d'impact. Les sites du groupe (purcept.fr, mindlapse.ai) ont leurs propres contacts.

Le site est statique, sans compte utilisateur, sans base de données et sans cookie. La surface d'attaque se limite donc à la configuration de service et aux en-têtes.

Mesures en place

Politique de sécurité du contenu (CSP) stricte, construite par empreinte SHA-256 à chaque build, avec default-src en 'none'. HSTS sur un an, en-têtes nosniff, X-Frame-Options, Referrer-Policy, Permissions-Policy, COOP et CORP.

Chaîne de publication vérifiée : analyse de secrets à chaque contribution, audit des dépendances, et une build en échec ne se déploie pas.