🇫🇷 Politique de sécurité de MnM (Make no Mistake) — projet open source maintenu par Alpha Luppi (Studio Manifeste). 🇬🇧 Security policy for MnM (Make no Mistake) — open source project maintained by Alpha Luppi (Studio Manifeste).

La sécurité de MnM est une priorité. Si vous découvrez une vulnérabilité, merci de NE PAS ouvrir d'issue publique sur GitHub.

Deux canaux privés sont disponibles, par ordre de préférence :

1. Email (canal préféré) : tom@alphaluppi.fr

   • Chiffrement PGP disponible sur demande.
   • Merci d'inclure : description de la vulnérabilité, étapes de reproduction, impact estimé, version concernée, et toute PoC ou patch que vous voulez bien partager.

2. GitHub Security Advisories (alternatif) : ouvrez un advisory privé via l'onglet Security du dépôt → Report a vulnerability.

   • URL directe : https://github.com/AlphaLuppi/mnm/security/advisories/new

Pour les vulnérabilités exploitées dans la nature (in-the-wild), nous escaladerons et publierons un patch hors-cycle si nécessaire.

MnM suit un modèle rolling release : nous supportons activement la version courante et la version précédente (N-1) sur la branche main. Nous n'avons pas de branches LTS distinctes pour le moment.

Nous adhérons au principe de divulgation responsable :

• Embargo standard de 90 jours entre le report et la publication (ou jusqu'à la disponibilité du correctif si plus tôt).
• Nous coordonnons avec vous la date de publication et la mention du crédit (CVE, advisory GitHub, hall of fame).
• Pas de bug bounty programmatique pour l'instant, mais nous remercions publiquement les chercheurs qui acceptent.

Les rapports suivants ne sont pas considérés comme des vulnérabilités exploitables :

• Auto-XSS nécessitant que la victime colle elle-même un payload dans la console.
• Absence de header HTTP (CSP, HSTS) sans démonstration d'exploit.
• Rate-limit absent sur des endpoints non-authentifiés sans impact métier démontré.
• Vulnérabilités dans des dépendances non-utilisées en production (vérifier d'abord avec bun audit).

Security is a top priority for MnM. If you discover a vulnerability, please DO NOT open a public GitHub issue.

Two private channels are available, in order of preference:

1. Email (preferred): tom@alphaluppi.fr

   • PGP encryption available on request.
   • Please include: description of the vulnerability, reproduction steps, estimated impact, affected version, and any PoC or patch you're willing to share.

2. GitHub Security Advisories (alternative): open a private advisory via the repo's Security tab → Report a vulnerability.

   • Direct URL: https://github.com/AlphaLuppi/mnm/security/advisories/new

For vulnerabilities being actively exploited in the wild, we will escalate and ship out-of-band patches as needed.

MnM follows a rolling release model: we actively support the current version and the previous version (N-1) on the main branch. We don't currently maintain separate LTS branches.

We follow responsible disclosure principles:

• Standard 90-day embargo between report and public disclosure (or until a fix is available, whichever comes first).
• We coordinate with you on the disclosure date and credit attribution (CVE, GitHub advisory, hall of fame).
• No formal bug bounty program at this time, but we publicly thank researchers who accept.

The following are not considered exploitable vulnerabilities:

• Self-XSS requiring the victim to paste a payload into their own console.
• Missing HTTP headers (CSP, HSTS) without a demonstrable exploit.
• Lack of rate-limiting on unauthenticated endpoints without demonstrated business impact.
• Vulnerabilities in dependencies not used in production (please verify first with bun audit).

Thanks for helping keep MnM and its users safe. — The Alpha Luppi maintainers team