01
Ne pas exploiter ni divulguer publiquement
Si vous découvrez une faille, ne tentez pas d'accéder à des données patients ou de médecin, ne modifiez rien, et n'en parlez pas publiquement avant qu'un correctif soit déployé.
Divulgation responsable
Vous avez trouvé une faille ?
Merci. CLINIK encourage la recherche en sécurité et récompense les chercheurs éthiques qui suivent notre processus de divulgation.
Processus en 4 étapes
- 02
Nous contacter immédiatement
Email à contact@clinik.africa avec : description technique, étapes pour reproduire, impact estimé, votre nom (si vous souhaitez le crédit), votre clé PGP si chiffrement souhaité.
- 03
Patienter 90 jours maximum
CLINIK accuse réception, évalue la criticité et déploie un correctif selon la sévérité. Vous pouvez publier 90 jours après votre signalement si vous le souhaitez.
- 04
Crédit dans le Hall of Fame
Avec votre accord, votre nom apparaît dans la page /legal/securite/contributeurs. Nous publions aussi un remerciement public sur LinkedIn / X.
Périmètre couvert
- Domaines clinik.africa et clinik.academy
- API publiques /api/*
- Pages publiques /dr/[slug], /clinic/[id], /trust, /legal/*
- Endpoint .well-known/security.txt
- Authentification, KYC, paiements, téléconsultation
Hors périmètre
- Sites tiers hébergés sur clinik.africa (sous-domaines partenaires)
- Vulnérabilités nécessitant un accès physique à un appareil utilisateur
- Attaques par ingénierie sociale (phishing employés CLINIK)
- Denial of Service applicatif via volume de requêtes
- Attaques sur les infrastructures de nos prestataires techniques — à signaler à leur équipe
Engagements CLINIK
- Pas de poursuites judiciaires contre les chercheurs respectant ce processus (Safe Harbor)
- Réponse à chaque signalement
- Correctif selon la criticité (CVSS)
- Crédit public avec votre accord (Hall of Fame)
- Conformité RFC 9116 (security.txt publié à /.well-known/security.txt)
Cette politique remplace toute version antérieure. Mise à jour 27/05/2026.