Sécurité

Date d’entrée en vigueur : 2026-04-25 – Version : 1.1

Dernière mise à jour : 2026-04-25

Signaler une vulnérabilité #

Écrivez à security@frem.sh. Les e-mails chiffrés sont les bienvenus ; l’empreinte de la clé PGP est publiée sur la page Confiance.

Nous accusons réception des signalements sous 48 heures ouvrées (voir la clause de safe harbour ci-dessous pour l’engagement formel). Les problèmes critiques touchant fremforge sont corrigés sans attendre Forgejo en amont lorsque c’est nécessaire ; les bugs de Forgejo lui-même sont coordonnés avec l’équipe de sécurité de Forgejo, selon sa politique de divulgation. Nos délais de correction publiés, par niveau de gravité, figurent sur la page Confiance.

Divulgation des vulnérabilités #

Signalez les vulnérabilités à security@frem.sh.

Une politique de divulgation lisible par machine est publiée à l’adresse frem.sh/.well-known/security.txt, conformément à la RFC 9116 : périmètre, contact, langues préférées et délai d’accusé de réception.

Safe harbour : les recherches menées de bonne foi dans le périmètre publié bénéficient du safe harbour. fremverk n’engagera aucune action en justice contre les chercheurs qui respectent la politique de divulgation. Nous nous engageons à accuser réception des signalements de vulnérabilité sous 48 heures ouvrées et à pratiquer une divulgation coordonnée selon un calendrier convenu d’un commun accord.

L’empreinte de la clé PGP de security@frem.sh est publiée à l’adresse frem.sh/trust#security-contact.

Périmètre #

• frem.sh – interface Forgejo, protocole Git, API, registre de paquets
• www.frem.sh, docs.frem.sh, status.frem.sh
• L’environnement de production de fremforge sur T Cloud Public
• Les e-mails et envois transactionnels expédiés depuis @frem.sh

Hors périmètre #

• Les intégrations tierces que vous configurez avec fremforge (à signaler à leur éditeur)
• Les résultats qui exigent, pour être reproduits, une session utilisateur privilégiée déjà authentifiée, au-delà des accès dont l’utilisateur dispose déjà

Ce que nous publions #

Les avis de sécurité sont publiés sur la page Confiance et envoyés à la liste de diffusion sécurité. Les post-mortems de tout incident ayant affecté les données ou la disponibilité des clients sont publiés sous 14 jours.

Historique des modifications #