Sécurité

Signaler une faille

Vous pensez avoir trouvé une vulnérabilité dans DASHUND ? Écrivez-nous à contact@dashund.link, avec « Sécurité » en objet. Merci de préciser :

la partie concernée (application, liens de test, plugin Figma) et l’adresse de la page ;
les étapes pour reproduire le problème, et ce que vous avez pu observer ;
son impact selon vous, et comment vous recontacter.

Nos engagements

Chaque signalement est lu et reçoit une réponse, en général sous quelques jours ouvrés.
Les failles confirmées sont corrigées en priorité, et nous vous informons de leur correction.
Si vous le souhaitez, nous pouvons vous remercier publiquement une fois la faille corrigée.

Règles de bonne conduite

Si vous recherchez des failles de bonne foi, nous vous demandons de :

n’utiliser que vos propres comptes, et ne jamais consulter, modifier ni supprimer les données d’autres personnes ;
ne pas perturber le service (ni déni de service, ni envois massifs, ni spam) ;
ne pas cibler nos utilisateurs ni nos prestataires (ni hameçonnage, ni ingénierie sociale) ;
nous laisser un délai raisonnable pour corriger la faille avant toute divulgation.

Périmètre : l’application app.dashund.link, le site et les liens de test dashund.link et le plugin DASHUND pour Figma. Les services de Figma, de nos hébergeurs et de nos prestataires relèvent de leurs propres programmes de signalement.

Les mesures en place

Hébergement en Europe : les données sont hébergées par OVHcloud, en France. Toutes les connexions sont chiffrées (HTTPS, avec HSTS).
Testeurs non identifiés : les testeurs n’ont pas de compte et ne communiquent ni nom ni adresse e-mail ; ils sont seulement associés à un identifiant aléatoire, propre à chaque prototype. Leur adresse IP n’est traitée que de façon transitoire, en mémoire vive, pour déterminer le pays de connexion et limiter les abus ; elle n’est enregistrée ni dans les données d’analyse ni dans les journaux.
Journaux techniques : ils ne contiennent aucune adresse IP, leur taille est plafonnée et les plus anciennes entrées sont effacées automatiquement au bout de quelques jours.
Sauvegardes : réalisées chaque nuit, chiffrées et conservées 6 mois au plus ; leur restauration est testée.
Comptes : les mots de passe ne sont jamais stockés en clair, mais sous une forme hachée et salée (algorithme scrypt), qui ne permet pas de les retrouver ; l’adresse e-mail est vérifiée avant toute création de compte ; les liens de connexion et de réinitialisation sont à usage unique et expirent rapidement ; le nombre de tentatives de connexion est limité ; la connexion avec Google ou Microsoft n’est acceptée que pour une adresse e-mail vérifiée par ce fournisseur.
Cloisonnement des espaces de travail : les droits d’accès sont contrôlés à chaque requête ; des tests automatisés vérifient que chaque fonction de l’application refuse l’accès à un utilisateur extérieur à l’espace de travail et n’autorise aucune modification par un membre en lecture seule.
Plugin Figma : il n’a jamais accès à votre mot de passe ; une fois votre autorisation donnée dans le navigateur, il reçoit un jeton d’accès aléatoire et révocable, et ne transmet aucune donnée avant que vous cliquiez sur « Publier ».
Secrets et accès : les jetons de connexion, d’invitation et d’accès à l’API sont stockés uniquement sous forme hachée ; les clés d’accès aux services de nos prestataires ne figurent jamais dans le code source ; l’administration du service est réservée à une liste nominative de comptes, et les bases de données ne sont pas accessibles depuis Internet.
Composants tiers : les bibliothèques logicielles utilisées sont contrôlées automatiquement (vulnérabilités connues et licences) à chaque modification du code.
Incidents : en cas de violation de données personnelles, nous informons les clients concernés dans les conditions prévues par l’accord de traitement des données.

Aucune mesure ne garantit une sécurité absolue : nous renforçons ces mesures au fil du temps et corrigeons en priorité les failles qui nous sont signalées.

Pour la protection des données personnelles et l’exercice de vos droits, consultez la politique de confidentialité.

Dernière mise à jour : 31 octobre 2026.