Sécurité

Si vous découvrez une vulnérabilité de sécurité affectant Playce Club, nous vous remercions de nous la signaler de manière responsable (responsible disclosure) avant toute divulgation publique.

Ou par email : security@playceclub.app

Précisez dans votre message :

• La nature de la vulnérabilité (type, composant affecté)
• Les étapes pour reproduire le problème
• L'impact potentiel estimé
• Si possible, une preuve de concept (PoC) non destructive

• Première réponse sous 72 heures ouvrées
• Analyse et qualification de la vulnérabilité dans un délai raisonnable
• Correction prioritaire si la vulnérabilité est confirmée
• Information du signalant une fois la correction déployée
• Crédit dans nos notes de version si souhaité

Nous nous engageons à ne pas engager de poursuites judiciaires contre les chercheurs agissant de bonne foi dans le cadre d'un signalement responsable.

Les éléments suivants sont dans le périmètre :

• Application web : playceclub.app
• API publique et authentification
• Gestion des données membres et documents
• Politiques de sécurité (RLS, CORS, headers)

Hors périmètre (à ne pas tester) :

• Attaques DoS ou DDoS
• Ingénierie sociale envers l'équipe ou les utilisateurs
• Tests automatisés intrusifs en production
• Accès à des données d'autres clubs sans autorisation
• Infrastructure tierce (Vercel, Supabase)

Playce Club ne propose pas encore de programme de bug bounty avec récompense financière. Nous offrons en revanche notre reconnaissance et un crédit public pour tout signalement validé et traité avec succès.

• Chiffrement HTTPS/TLS sur l'ensemble du service
• Authentification via Supabase Auth (JWT, sessions sécurisées)
• Row Level Security (RLS) PostgreSQL — isolation stricte des données par club
• Headers de sécurité : HSTS, X-Frame-Options, X-Content-Type-Options, CSP
• Stockage fichiers privé (buckets Supabase non publics)
• Pas de script analytics tiers ni de tracker externe