Sécurité

Signaler une faille

Où l’envoyer, ce qu’il faut joindre, et notre engagement à ne pas poursuivre la recherche de bonne foi.

Envoyez les signalements de sécurité à security@afer.app. C’est une seule adresse, lue par les personnes qui peuvent corriger le problème. Écrivez en mots simples ; une preuve qui fonctionne vaut mieux qu’un long rapport. Vous recevez une réponse confirmant que nous l’avons et une personne comme interlocuteur jusqu’à la clôture du problème. Si l’e-mail n’est pas une option, le formulaire de demande d’assistance de ce site fonctionne aussi.

• ce que vous avez trouvé, et ce que quelqu’un pourrait en faire
• où cela se trouve : l’adresse, l’app et sa version, la plateforme
• les étapes pour le reproduire, dans l’ordre
• des captures d’écran, un court enregistrement, ou les requêtes et les réponses
• le nom ou le pseudonyme que vous voulez voir crédité, ou aucun

Si vous cherchez de bonne foi et restez dans le périmètre ci-dessous, nous n’engagerons pas de poursuites contre vous pour ces tests, ne demanderons à personne d’autre de le faire, et ne vous signalerons pas. Nous le confirmerons par écrit si vous en avez besoin. La bonne foi signifie que vous utilisez vos propres comptes, que vous ne prenez que les données nécessaires pour prouver la découverte, que vous arrêtez dès que vous avez la preuve, et que vous nous laissez le temps de corriger avant de publier.

Cette promesse s’arrête là où la recherche s’arrête. L’extorsion, les menaces, la vente d’une découverte, la modification ou la suppression des données d’autres personnes, et l’utilisation d’un compte dans lequel vous êtes entré par effraction ne sont pas de la recherche, et nous les traitons comme de la fraude. Nous ne pouvons pas non plus parler au nom de quelqu’un d’autre. Si vos tests touchent un service que nous n’exploitons pas, ce sont les règles de ce prestataire qui s’appliquent. Dites-le-nous quand même et nous transmettrons ce que nous pouvons.

Périmètre

Quelles apps, domaines et API sont dans le périmètre, et ce qui en est exclu.

Dans le périmètre : afer.app et les pages servies sous ce domaine, l’app Afër sur iOS et Android, l’app commerçant, l’app chauffeur, et l’API publique derrière toutes. Si un utilisateur, un commerçant ou un chauffeur ordinaire peut l’atteindre, nous voulons en entendre parler. Cela inclut les parties du site qui reçoivent vos saisies, comme le formulaire de demande d’assistance, la bannière de consentement et le cookie de langue.

• l’ingénierie sociale de nos employés, commerçants, chauffeurs, coursiers ou utilisateurs
• les attaques physiques contre des bureaux, des véhicules, des appareils ou des personnes
• le déni de service, les tests de charge, ou tout ce qui dégrade le service en production
• les rapports qui ne sont que la sortie d’un scanner automatisé, sans impact démontré
• les services que nous n’exploitons pas, y compris les magasins d’applications et notre prestataire de paiement

Testez sur vos propres comptes et vos propres données. Ne passez pas de vraie commande, ne demandez pas de vraie course, et ne réservez pas d’inspection pour prouver un point, et ne poussez pas un commerçant en activité à un travail qui lui coûte de l’argent. Ne lisez pas la messagerie, le reçu ou l’enregistrement de trajet d’une autre personne ; les numéros de téléphone masqués restent masqués. Si une découverte ne peut être montrée qu’avec les données de quelqu’un d’autre, arrêtez-vous là et décrivez-la, et nous mettrons en place un compte de test avec vous.

Délais de réponse

Accusé de réception, tri et objectifs de correction.

Nous accusons réception de chaque signalement envoyé à security@afer.app dans les deux jours ouvrables, et nous terminons le tri dans les cinq. Le tri vous donne trois choses : une gravité, une décision indiquant si la découverte entre dans le périmètre, et le nom de la personne qui s’en occupe. Si nous ne parvenons pas à reproduire le problème, nous le disons et demandons ce qui nous a échappé, plutôt que de le clore en silence. Les doublons font eux aussi l’objet d’un accusé de réception, et nous vous disons quel signalement est arrivé en premier. Les délais ci-dessous sont les objectifs que nous visons, pas des garanties.

• critique, comme une prise de contrôle de compte ou de l’argent qui bouge sans consentement : contenu immédiatement, corrigé sous sept jours
• élevée : corrigée sous trente jours
• moyenne : corrigée sous quatre-vingt-dix jours
• faible : corrigée dans une version régulière, et nous vous disons laquelle
• toute échéance que nous allons manquer : nous vous le disons avant qu’elle ne passe, avec une nouvelle date

Ces délais sont distincts de ceux de l’assistance. L’assistance vise à répondre aux signalements de sécurité dans l’heure, de jour comme de nuit, aux paiements et aux remboursements le jour ouvrable même, et à tout le reste dans un jour ouvrable. Si ce que vous avez trouvé met une personne précise en danger en ce moment, n’attendez pas dans la file de la sécurité. Utilisez SOS dans l’application ou écrivez à support@afer.app en disant que c’est urgent.

Sécurité du compte

Vérification du téléphone, gestion des sessions, et ce que nous ne vous demanderons jamais.

Votre compte est lié à votre numéro de téléphone. La connexion envoie un code à usage unique à ce numéro, et un nouvel appareil a besoin d’un nouveau code avant de voir quoi que ce soit. Les sessions restent ouvertes sur les appareils que vous avez déjà approuvés, il vaut donc la peine de savoir quels téléphones ce sont. Supprimer le compte depuis les Paramètres ferme ces sessions avec lui, et retire votre profil et vos données personnelles.

• le code à usage unique envoyé à votre téléphone, jamais, pour aucune raison
• un mot de passe, parce que le compte n’en utilise pas
• votre numéro de carte complet, dans la messagerie, par e-mail ou au téléphone
• un paiement pour débloquer un remboursement, un versement ou un solde de portefeuille
• l’accès à distance à votre téléphone, ou un partage d’écran de votre portefeuille

Quiconque demande l’une de ces choses n’est pas nous, quoi que disent l’identifiant de l’appelant ou le logo. La vraie assistance vous joint via l’Aide dans l’app, via support@afer.app, ou en réponse à une demande que vous avez ouverte sur le site, en portant le code de référence qui vous a été donné. Si quelqu’un vous appelle en prétendant être Afër et demande votre code, raccrochez et dites-le-nous.

Dites-le-nous vite si vous perdez le téléphone, perdez le numéro, ou voyez un paiement que vous n’avez pas fait. Nous pouvons suspendre un compte pendant que nous regardons, et les problèmes de paiement reçoivent une réponse le jour ouvré même. Une fraude confirmée met le score de confiance de ce profil à zéro et ferme le compte. Le score est construit à partir de la vérification, des transactions abouties, des évaluations, de l’ancienneté du compte et des inspections réussies, et le titulaire du compte ne peut pas le modifier.

Sécurité des paiements

Traitement des soldes et des recharges par carte, et conception du QR à usage unique.

Le portefeuille est prépayé, et chaque service est réglé depuis le même solde. C’est une limite délibérée : le maximum que quiconque peut atteindre via l’app est ce que vous avez chargé, pas le compte bancaire derrière. Les recharges par carte passent par notre prestataire de paiement. L’argent que vous avez chargé ne peut revenir que sur la carte d’où il vient, jamais sur un compte bancaire ni sur une autre carte, et les gains ne sont versés que sur le compte bancaire enregistré de la personne qui les a gagnés, jamais sur un compte que quelqu’un vous donne dans une messagerie.

Le paiement sur place au comptoir utilise un QR code à usage unique affiché dans l’app commerçant. Le code porte un seul paiement, pour ce montant, et il est dépensé une fois utilisé, donc une photo de l’écran ne vaut plus rien ensuite. Personne travaillant via Afër ne peut vous demander de l’argent en dehors de l’app : là où les espèces sont acceptées à la livraison, vous remettez exactement le montant affiché par l’app, et rien de plus.

Chaque paiement laisse un reçu détaillé dans le portefeuille, avec les frais indiqués séparément, de sorte qu’un montant que vous ne reconnaissez pas est facile à repérer. Vous avez 14 jours à compter d’une commande, d’une course ou d’un achat pour ouvrir un litige, et aucun délai du tout pour un signalement de sécurité ou pour de l’argent que nous retenons encore. Tant qu’un dossier est ouvert, le montant est retenu, pas réglé, et les remboursements reviennent sur le solde du portefeuille d’où ils venaient, en général en quelques minutes après une décision.

Protection des données

Chiffrement en transit et au repos, contrôle des accès et journalisation.

Le trafic entre votre appareil et Afër est chiffré en transit, et ce que nous détenons est chiffré là où c’est stocké : informations du compte, enregistrements de transactions, informations de l’appareil, messages à l’assistance, et la position que nous collectons pendant qu’un service est en cours. La collecte de la position s’arrête quand le service s’arrête. Nous gardons les données personnelles hors des adresses web et hors de tout ce qui finirait autrement dans un journal ordinaire.

À l’intérieur d’Afër, l’accès est accordé par rôle et par besoin. Un agent qui traite votre dossier voit la commande, la course ou l’annonce qui y est rattachée, pas vos informations de carte et pas les dossiers d’un collègue. L’accès aux systèmes contenant des données personnelles est journalisé et les journaux sont revus. Un employé qui ouvre un enregistrement qu’il n’avait aucune raison d’ouvrir est traité comme un incident de sécurité, pas comme une négligence.

• exporter tout ce que vous nous avez donné, dans un fichier lisible par machine
• supprimer le compte depuis les Paramètres, et avec lui le profil et les données personnelles
• les enregistrements de transactions que la loi nous oblige à conserver restent, sans vos coordonnées
• les cookies d’analyse sur afer.app ne sont posés qu’après que vous avez choisi Accepter
• afer_lang stocke un code de langue à deux lettres et n’est pas utilisé pour l’analyse

Un envoi de formulaire web est conservé avec un code de référence, l’heure, le pays approximatif d’où il vient, et l’adresse IP, que nous utilisons pour prévenir les abus. Nous pouvons placer Cloudflare Turnstile devant un formulaire pour distinguer les personnes des robots. Un envoi est conservé aussi longtemps que nous en avons besoin pour traiter votre demande, et jusqu’à 24 mois après.

Remerciements

Les chercheurs ayant signalé de façon responsable.

Nous créditons les chercheurs qui signalent de manière responsable, avec leur consentement et jamais sans. Dites-nous dans votre signalement comment vous voulez apparaître : un nom, un pseudonyme, une entreprise, ou rien du tout. Vous pouvez changer d’avis plus tard et nous retirerons l’entrée. Nous ne promettons pas de paiement pour un signalement, et nous ne retiendrons pas un crédit parce qu’une découverte a été embarrassante pour nous.

• le nom ou le pseudonyme choisi par le chercheur
• le mois où le signalement nous est parvenu
• le type de problème, décrit sans donner la recette pour le reproduire

La liste est publique et elle commence vide. Elle se remplit à mesure que les gens signalent, et une entrée est ajoutée une fois que le correctif est déployé et que le chercheur a accepté la formulation. Si vous avez signalé quelque chose et que vous ne figurez pas sur la liste, ou que vous y figurez et voulez en sortir, écrivez à security@afer.app et nous corrigerons sous un jour ouvré.