Politique de divulgation des vulnérabilités

Dernière mise à jour : 18 octobre 2026

Si vous pensez avoir trouvé une vulnérabilité de sécurité dans un site, une application ou une API ZyndPay, signalez-la-nous en privé. Nous travaillerons avec vous de bonne foi pour la comprendre et la corriger.

1. Comment signaler

Écrivez à support@zyndpay.io avec l’objet Signalement de sécurité. Rédigez en français ou en anglais et indiquez :

l’adresse du site, de l’application ou de l’API concerné ;
une description du problème et de son impact possible ;
les étapes pour le reproduire ;
comment vous contacter.

Nos coordonnées lisibles par machine sont publiées à l’adresse /.well-known/security.txt.

2. Nos engagements

Nous accusons réception de votre signalement sous trois jours ouvrés.
Nous vous tenons informé pendant l’analyse et la correction.
Nous n’engagerons pas de poursuites contre une recherche menée de bonne foi et conforme à cette politique.
Une fois le problème corrigé, nous vous remercions publiquement si vous le souhaitez.

3. Règles de test

Testez uniquement avec des comptes qui vous appartiennent ou que vous êtes autorisé à utiliser.
N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas. Si vous y accédez, arrêtez-vous et prévenez-nous.
Ne déplacez pas de fonds qui ne vous appartiennent pas et ne tentez pas de frauder un client, un marchand ou ZyndPay.
Ne perturbez pas nos services : pas de déni de service, pas de scan automatisé à fort volume, pas de spam.
Pas d’ingénierie sociale visant notre équipe ou nos clients, ni d’attaque physique.
Laissez-nous un délai raisonnable pour corriger avant toute publication, et convenez de la date avec nous.
Supprimez les données obtenues une fois votre signalement clos.

Tout test en dehors de ces règles n’est pas autorisé.

4. Hors périmètre

les résultats de scanners automatiques sans impact démontré ;
l’absence de bonnes pratiques sans impact concret sur la sécurité ;
les tests de volume ou de limitation de débit ;
les services que nous n’exploitons pas nous-mêmes.

5. Récompenses

Nous ne proposons pas actuellement de programme de bug bounty rémunéré. Nous apprécions chaque signalement utile et remercions les chercheurs qui aident à protéger nos clients.