unopost

Politique de divulgation responsable

Dernière mise à jour : 15 octobre 2026

Ce texte est une traduction de l'original anglais (https://unopost.com.au/responsible-disclosure), fournie pour votre commodité ; en cas de divergence, la version anglaise prévaut.

1. Introduction

Nous accueillons favorablement les signalements de toute personne qui pense avoir découvert une vulnérabilité de sécurité dans Unopost. La présente Politique de divulgation responsable explique comment en signaler une, les règles que nous vous demandons de respecter lors de vos recherches et ce que nous ferons en retour. Elle est publiée par AWS, CYY & Co. Pty Ltd (ACN 686 116 245), agissant en qualité de fiduciaire (Trustee) de Mumu, Lulu & Co. (ABN 54 837 123 965), qui exploite Unopost.

Nous n'avons pas de programme de bug bounty rémunéré et ne versons aucune récompense pour les signalements. Avec votre accord, nous vous remercierons nommément sur cette page une fois le problème corrigé.

2. Champ d'application

La présente Politique couvre :

Elle ne couvre pas les services exploités par des tiers que nous utilisons, tels que Square, Australia Post ou Amazon Web Services. Signalez les problèmes qui les concernent au prestataire en question.

3. Comment signaler

Écrivez à support@unopost.com.au en indiquant « Security » dans l'objet. Veuillez inclure :

  • Une description du problème et de l'impact que vous lui attribuez
  • L'URL, le point de terminaison ou la fonctionnalité concernés
  • Les étapes détaillées permettant de le reproduire, avec tout code de preuve de concept, capture d'écran ou requête utile
  • Comment vous contacter, et si vous souhaitez être remercié nommément

Si vous avez découvert une clé, un mot de passe ou tout autre secret exposé, prévenez-nous immédiatement et ne l'utilisez pas. Veuillez si possible écrire en anglais.

4. Ce que nous vous demandons

Lorsque vous recherchez et signalez une vulnérabilité, vous devez :

  • Ne tester que des comptes, documents et Lettres qui vous appartiennent, ou que leur titulaire vous a autorisé à utiliser
  • Vous arrêter dès que vous accédez à des informations personnelles, documents ou données qui ne sont pas les vôtres, et nous indiquer ce à quoi vous avez accédé. Ne les copiez pas, ne les conservez pas, ne les modifiez pas, ne les supprimez pas et ne les communiquez à personne
  • Ne pas dégrader ni interrompre le Service, notamment par des attaques par déni de service, des tests de charge ou des analyses automatisées à grand volume
  • Ne pas poster de Lettres à quiconque sans son consentement, ni envoyer de messages à nos clients, à leurs destinataires ou à notre personnel
  • Ne pas recourir à l'ingénierie sociale, à l'hameçonnage ou à des attaques physiques contre notre personnel, nos locaux ou nos prestataires
  • Ne pas utiliser la carte de paiement, le Crédit professionnel ou les identifiants d'une autre personne
  • Ne faire que ce qui est nécessaire pour démontrer l'existence de la vulnérabilité
  • Garder les détails confidentiels jusqu'à ce que nous ayons corrigé le problème, ou jusqu'à 90 jours après votre signalement si cette échéance intervient plus tôt, sauf accord contraire avec vous
  • Respecter la loi

5. Ce que nous ferons

Lorsque vous signalez une vulnérabilité conformément à la présente Politique, nous nous engageons à :

  • Accuser réception de votre signalement sous 2 jours ouvrables
  • Vous indiquer si nous parvenons à reproduire le problème et vous tenir informé de nos progrès
  • Nous efforcer de corriger une vulnérabilité confirmée sous 90 jours, et plus tôt lorsqu'elle met en danger des informations personnelles
  • Vous informer lorsque le problème a été corrigé et vous remercier nommément si vous nous l'avez demandé

Si le problème concernait des informations personnelles, nous l'évaluerons et en informerons les personnes concernées et l'Office of the Australian Information Commissioner comme le décrit l'article 11 de notre Politique de confidentialité (https://unopost.com.au/privacy).

6. Protection juridique (safe harbour)

Si vous agissez de bonne foi et conformément à la présente Politique, nous considérerons vos recherches comme autorisées, n'engagerons aucune action en justice contre vous à leur sujet et ne vous signalerons pas aux autorités répressives. Si un tiers engage une action en justice contre vous pour des recherches conformes à la présente Politique, nous ferons savoir que ces recherches avaient été autorisées par nous.

Cela ne s'applique pas si vous avez enfreint la présente Politique, accédé à plus que nécessaire ou demandé un paiement en échange de la non-divulgation d'un problème. En cas de doute sur ce que vous envisagez de faire, interrogez-nous d'abord à support@unopost.com.au.

7. Ce que nous ne considérons pas comme une vulnérabilité

Les éléments suivants n'entrent généralement pas dans le champ de la présente Politique, sauf si vous pouvez démontrer un impact réel sur la sécurité du Service ou de nos utilisateurs :

  • Les rapports de scanners automatisés sans preuve de concept fonctionnelle
  • L'absence, à elle seule, d'en-têtes de sécurité, d'attributs de cookies ou d'enregistrements d'authentification des e-mails (SPF, DKIM, DMARC)
  • Le clickjacking sur des pages ne comportant aucune action potentiellement préjudiciable
  • Le self-XSS, ou les problèmes nécessitant un accès physique à l'appareil déverrouillé d'un utilisateur
  • La divulgation de versions de logiciels, ou l'absence de limitation de débit sur des actions sans conséquence pour la sécurité
  • Le déni de service, et les vulnérabilités des services tiers mentionnés à l'article 2

8. Modifications de la présente Politique

Nous pouvons modifier la présente Politique à tout moment en publiant une nouvelle version sur cette page. La version publiée au moment de votre signalement s'applique à celui-ci.