Politique de sécurité

Dernière mise à jour : 5 juin 2026

Nous prenons au sérieux la sécurité de Gianna et des données qui lui sont confiées. Ce document explique comment signaler une vulnérabilité et ce qui suivra.

Gianna est une assistante de foyer catholique accessible par Telegram et une application web sur gianna.chat. Il s’agit d’un logiciel propriétaire (voir LICENSE). Cette politique concerne la divulgation coordonnée des problèmes de sécurité et n’accorde aucun droit sur le code.

Signaler une vulnérabilité

Si vous pensez avoir trouvé une vulnérabilité, signalez-la en privé. N’ouvrez pas de ticket public, ne la publiez pas et ne la partagez pas avant que nous ayons pu la traiter.

Écrivez à security@gianna.chat en précisant :

• Le problème et son impact potentiel, décrits clairement.
• Les étapes de reproduction, avec toute preuve de concept, requête ou charge utile.
• Le composant, point de terminaison ou URL concerné, si pertinent.
• Votre nom ou pseudonyme si vous souhaitez être cité.

Pour transmettre des informations sensibles, demandez un canal chiffré dans votre premier message ; nous l’organiserons.

Notre engagement

• Nous visons un accusé de réception sous 3 jours ouvrés.
• Nous donnerons une première évaluation, avec la gravité et le délai probable, sous 10 jours ouvrés.
• Nous vous tiendrons informé de la correction et de sa résolution.
• Avec votre accord, nous pouvons vous citer après correction.

Périmètre

Sont concernés :

• L’application web et l’API Gianna sur gianna.chat.
• L’intégration Telegram.
• L’authentification, la gestion des sessions, la facturation et les contrôles d’accès aux données.

Sont exclus (ne les testez pas et ne les signalez pas ici) :

• Les services tiers que nous utilisons, comme Telegram, notre fournisseur de modèles de langage, Stripe ou PostHog. Adressez les problèmes à leurs fournisseurs respectifs.
• Les tests de déni de service, de volume ou de force brute.
• L’ingénierie sociale, l’hameçonnage ou les attaques physiques contre nous, notre personnel ou nos utilisateurs.
• Les rapports fondés uniquement sur un scanner automatisé sans impact démontré.
• Les en-têtes de sécurité manquants ou suggestions de bonnes pratiques sans impact exploitable, qui restent bienvenus mais sont traités comme informatifs.

Tests responsables

Pendant vos recherches :

• Testez uniquement votre compte et vos données ; n’accédez jamais aux données d’autres foyers, ne les modifiez pas et ne les détruisez pas.
• Arrêtez dès la démonstration de la vulnérabilité et n’allez pas au-delà de ce qui est nécessaire pour prouver son impact.
• Évitez les atteintes à la vie privée, interruptions de service et actions pouvant nuire aux utilisateurs.
• Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.

Nous n’engagerons ni ne soutiendrons de poursuites contre les chercheurs de bonne foi qui suivent cette politique.

Protection de vos données

Quelques mesures intégrées à Gianna :

• Les mots de passe sont hachés avec argon2, jamais conservés en clair.
• L’accès authentifié utilise des jetons JWT signés ; l’application refuse de démarrer avec un secret par défaut en dehors du mode simulé.
• Tout le trafic utilise TLS.
• Les messages entrants des canaux ont un expéditeur vérifié : le foyer est déterminé par l’identité de l’expéditeur vérifiée par le canal, jamais par une entrée fournie par le client, ce qui empêche l’accès entre foyers (pas d’IDOR).
• En production, CORS est limité à l’origine de l’application.
• Pour éviter l’usage silencieux d’intégrations non vérifiées, l’application refuse de démarrer en mode réel si ses identifiants réels ne sont pas correctement configurés.

Pour la collecte et le traitement des données personnelles, voir la Politique de confidentialité. Pour les règles d’utilisation du Service, voir les Conditions d’utilisation.

Contact

Signalements de sécurité : security@gianna.chat Demandes générales : hello@gianna.chat