Sécurité et signalement d’une vulnérabilité

Comment MasterLinux protège vos données, et comment nous prévenir si vous découvrez une faille.

Ce que nous faisons

Chiffrement de bout en bout du trafic (HTTPS, TLS 1.2 et 1.3, HSTS), en-têtes de sécurité stricts (Content-Security-Policy, isolation des cadres), cookies protégés (HttpOnly, Secure, préfixe __Host-).

Mots de passe hachés avec scrypt (jamais stockés en clair), vérification de l’adresse e-mail à l’inscription, double authentification (code à usage unique) disponible pour tous et obligatoire pour les administrateurs, limitation du nombre de tentatives, journal des connexions et des appareils consultable dans votre profil.

Paiements délégués à PayPal : MasterLinux ne voit, ne stocke et ne transmet jamais vos numéros de carte. Les notifications de paiement sont vérifiées cryptographiquement avant tout effet sur votre compte.

Serveur durci (compte de service sans privilège, système en lecture seule, administration uniquement par réseau privé), sauvegardes quotidiennes chiffrées conservées hors du serveur, journal d’audit infalsifiable des actions sensibles, surveillance automatique et alertes.

Aucune dépendance logicielle tierce n’est exécutée en production en dehors de quelques bibliothèques auditées ; le code est analysé automatiquement (analyse statique, audit des dépendances) avant chaque mise en ligne et les outils fournis aux élèves sont signés.

Signaler une vulnérabilité

Si vous pensez avoir trouvé une faille sur https://masterlinux.online, écrivez à contact@masterlinux.online avec pour objet « Sécurité ». Décrivez le problème, les étapes pour le reproduire et, si possible, son impact. Vous pouvez écrire en français, en anglais ou en arabe.

Nous accusons réception sous 72 heures, nous vous tenons informé de l’avancement et nous vous créditons (si vous le souhaitez) une fois la correction en ligne. Les failles critiques sont corrigées en priorité, en général sous 72 heures ; les autres sous 30 jours.

Nous n’engageons aucune poursuite contre une recherche de bonne foi : pas d’accès à des données qui ne sont pas les vôtres au-delà du strict nécessaire pour démontrer la faille, pas d’altération ni de destruction de données, pas d’interruption du service, pas de divulgation publique avant la correction (ou 90 jours après votre signalement).

Hors périmètre

Attaques par déni de service ou par volume, ingénierie sociale, hameçonnage de nos utilisateurs, accès physique, résultats d’outils automatisés sans démonstration d’impact, bonnes pratiques théoriques sans scénario d’exploitation (versions, en-têtes manquants sans conséquence), et les services tiers (PayPal, Google) qui ont leurs propres programmes.

Vos données

Vous pouvez à tout moment télécharger une copie de vos données ou supprimer votre compte depuis votre profil. Notre politique de confidentialité détaille ce que nous conservons et pourquoi. Pour toute question sur la sécurité ou la protection des données : contact@masterlinux.online.

https://masterlinux.online/.well-known/security.txt