Sécurité et signalement des vulnérabilités
Comment protéger les comptes et les pass et signaler une vulnérabilité possible de CheckTau.
Ce que protège CheckTau
CheckTau utilise des comptes, des permissions et des contrôles du serveur pour restreindre l’accès aux dossiers. Protégez votre compte et vos pass, et signalez tout soupçon d’accès non autorisé au contact indiqué sur cette page.
Protégez votre compte
Utilisez un mot de passe unique et gardez l’appareil à jour et verrouillé. Ne partagez pas les comptes ou les mots de passe temporaires. Dans Profil sur le Web ou les Réglages des applications mobiles, vous pouvez changer le mot de passe et fermer toutes les sessions, y compris la session actuelle. Si vous soupçonnez un accès non autorisé, informez votre organisation. Fermer une session ne supprime pas les dossiers et ne retire pas les fichiers ou e-mails déjà copiés.
Liens, codes et QR
Obtenir un pass nécessite un lien et un code. Le serveur vérifie l’expiration, les tentatives et l’usage unique. Une vérification réussie peut consommer le lien même si le pass ne s’affiche pas. Le QR est un identifiant distinct, réutilisable pour identifier le participant lors des activités. Ne publiez pas les liens, codes, QR ou captures d’écran. En cas d’exposition, demandez la vérification de l’identifiant : l’expiration du lien n’invalide pas à elle seule le QR.
Mots de passe et sessions
Le serveur utilise des empreintes de mots de passe et de codes, ainsi que des empreintes d’identifiants de renouvellement. Sur le Web, le navigateur conserve un identifiant opaque et les données sensibles de session sont chiffrées sur le serveur. En production, le cookie est HttpOnly, Secure et limité à l’hôte de l’application. Les réponses privées indiquent qu’elles ne doivent pas être mises en cache. Il ne s’agit pas d’un chiffrement de bout en bout : le serveur traite les dossiers pour fournir le service.
Appareils mobiles
iOS conserve les identifiants dans le trousseau, protégé pour l’appareil déverrouillé et sans synchronisation iCloud. Android les chiffre avec des clés Android Keystore et exclut ce stockage des sauvegardes de l’application. L’appareil photo traite les QR sur l’appareil ; CheckTau n’enregistre ni ne téléverse les images. La politique de confidentialité explique le diagnostic du SDK Android. Ces mesures ne protègent pas automatiquement les captures d’écran, les fichiers exportés, les applications de partage ou les e-mails.
Pass et liens Wallet
Les liens Apple et Google contiennent des autorisations temporaires et sont confidentiels. Le serveur vérifie à nouveau le participant et son QR lors de l’émission d’un pass. Les clés de signature restent sur le serveur ; le lien Google transmet des données au fournisseur sans les anonymiser. Le PNG ou le pass enregistré peut être copié. Il est statique et n’est pas supprimé à distance lorsqu’un lien expire ou que le QR est remplacé.
Signaler une vulnérabilité
Écrivez à [email protected]. Décrivez la fonction concernée, la date et l’heure approximatives, les étapes minimales et l’impact possible. Indiquez la version de l’application ou du navigateur et des captures d’écran préalablement masquées si elles sont utiles. N’envoyez ni mots de passe, ni codes, ni tokens, ni liens d’accès complets, ni QR, ni données de tiers. Pour des informations sensibles, demandez d’abord un canal adapté.
Arrêtez les vérifications si des données d’autrui apparaissent. N’extrayez pas de données, ne conservez pas d’accès, ne perturbez pas le service et ne testez pas les systèmes de tiers. Ce canal n’accorde aucune autorisation générale de test et ne prévoit ni récompense, ni immunité, ni délai de réponse garanti. Les erreurs de présence, liens expirés et questions de compte sont traités avec l’organisation ou l’assistance. Évitez de divulguer des détails permettant d’exploiter la faille pendant son examen.
Signaler une vulnérabilitéAutres incidents et urgences
Pour un problème de compte, de pass ou de présence, contactez votre organisation ou l’assistance. Si une personne est en danger immédiat, contactez les services d’urgence et votre organisation ; n’attendez pas de réponse à un e-mail.