1. Comment nous protégeons votre compte
- HTTPS partout. more.you, l'application, le serveur MCP et les pages publiées sont servis en HTTPS. Les domaines personnalisés reçoivent un certificat automatiquement.
- Connexion avec Google. Vous vous connectez avec votre compte Google : More.You ne voit donc jamais votre mot de passe Google. Tout mot de passe enregistré lors d'une inscription antérieure n'est conservé que sous forme de hash bcrypt.
- Sessions sécurisées. Les cookies de connexion sont sécurisés et en HTTP-only : les scripts d'une page ne peuvent pas les lire.
- Connexions IA que vous contrôlez. Contrôle IA connecte un assistant via OAuth. Vous approuvez chaque connexion et vous pouvez la supprimer.
- Aucun secret dans le code. Les clés et mots de passe sont stockés dans AWS Systems Manager Parameter Store.
- Protection contre les abus. Des limites de requêtes sur la connexion et l'inscription, et une vérification que chaque requête qui modifie des données vient bien de notre propre site.
- Paiements via Stripe. Les données de carte vont directement à Stripe. Nous ne voyons ni ne stockons jamais les numéros de carte.
La Politique de confidentialité explique quelles données nous gardons et avec qui nous les partageons.
2. Signaler une faille
Écrivez à security@more.you en incluant :
- une description du problème et de ce qu'un attaquant pourrait en faire ;
- les étapes pour le reproduire, avec tout code de démonstration ou toute capture d'écran ;
- où il se trouve, par exemple more.you, app.more.you ou mcp.more.you ;
- votre nom ou votre pseudo, si vous souhaitez être cité.
Merci de ne pas publier de faille dans un ticket public, un avis ou une publication sur les réseaux sociaux.
3. Périmètre
Dans le périmètre
- more.you et les sous-domaines que nous gérons, dont app.more.you et api-app.more.you.
- Les pages publiées sur more.you/<name> et sur les domaines personnalisés connectés.
- Le serveur MCP de More.You à l'adresse mcp.more.you/api et sa connexion OAuth.
Hors périmètre
- Les problèmes des services que nous utilisons, comme Amazon Web Services, Google, Microsoft, Stripe, OpenAI, Cloudflare et les réseaux sociaux. Signalez-les à l'entreprise qui les exploite.
- Les problèmes des assistants IA qui se connectent à notre serveur MCP, comme ChatGPT, Claude et Gemini.
- Les attaques qui exigent un accès physique à l'appareil d'une victime, l'ingénierie sociale visant notre équipe, ou le déni de service par volume de trafic.
- Les problèmes déjà publics.
- Les signalements sans moyen de montrer un préjudice réel.
4. Règles pour les tests
- Testez uniquement sur votre propre compte et vos propres pages.
- Ne lisez, ne modifiez et ne supprimez pas les données d'autres personnes. Si vous y accédez par accident, arrêtez-vous et dites-nous ce que vous avez vu.
- Ne lancez pas d'analyses automatisées qui ralentissent le Service pour les autres.
- N'essayez pas de recevoir un paiement depuis une page qui n'est pas la vôtre, et n'utilisez pas de cartes que vous n'avez pas le droit d'utiliser.
5. Protection juridique
Si vous faites de bonne foi un effort pour suivre cette politique pendant vos recherches, nous considérons vos recherches comme autorisées. Nous travaillerons avec vous pour comprendre et corriger rapidement le problème, et nous n'engagerons ni ne soutiendrons aucune action en justice à ce sujet.
6. Divulgation coordonnée
Laissez-nous un délai raisonnable pour étudier et corriger le problème avant de le rendre public. Une fois le problème corrigé, nous vous citerons volontiers dans toute communication publique.
7. security.txt
Nous publions /.well-known/security.txt selon la RFC 9116, avec la même adresse de contact et un lien vers cette page.
8. Protégez votre compte
- Activez la validation en deux étapes sur le compte Google avec lequel vous vous connectez.
- Supprimez les assistants IA et les connexions Stripe que vous n'utilisez plus.
- Nous ne demandons jamais votre mot de passe par e-mail. Si un e-mail le demande, transférez-le à security@more.you.
