Critique
CVSS 9.0 – 10.0
- T-shirt
- Sticker
- D'autres goodies à venir
Tête du Hall of Fame et crédit dans l'advisory publié sur le site (CVE si la faille touche un composant tiers ou un dépôt public).
programme ouvertdepuis [06/11/2026]
Bug bounty
Tu trouves une faille sur mon site ou mes projets, tu me la signales proprement, je la corrige et tu repars avec des goodies.
Programme perso et bénévole : les récompenses sont uniquement des goodies, jamais d’argent. Le plus beau cadeau reste ton nom au Hall of Fame.
- accusé de réception
- [72 h]
- triage
- [7 jours]
- divulgation
- [90 jours]
- récompense
- goodies
01Récompenses
La sévérité est fixée avec CVSS 3.1 après triage. Les packs ne se cumulent pas : un rapport, un pack.
Élevée
CVSS 7.0 – 8.9
- T-shirt
- D'autres goodies à venir
Place au Hall of Fame.
Moyenne
CVSS 4.0 – 6.9
- Sticker
- remis en main propre
Place au Hall of Fame.
Faible
CVSS 0.1 – 3.9
- À mon bon vouloir
Place au Hall of Fame.
Info et doublons
Un rapport sans impact réel ou déjà signalé ne donne pas de goodies, mais un grand merci. En cas de doublon, le premier rapport complet l'emporte.
Remise des goodies
Le sticker du palier Moyenne est remis en main propre ([lieu ou événement]). Les t-shirts partent par la poste : je te demande ton adresse seulement après validation, via ton rapport, et elle est supprimée dès l’envoi. Envoi depuis france, France.
02Périmètre
Dans le périmètre
- blog.pixelserver.frsite public et blog
- blog.pixelserver.fr/adminespace admin, sans toucher aux données
- comptes, profils, ticketsauth, 2FA(non disponible), threads, RLS
- github.com/Luxinenglishdépôts publics listés en projets
Hors périmètre
- Déni de service, tests de charge, spam de formulaires
- Ingénierie sociale, phishing, accès physique
- Infrastructure des services tiers (hébergeur, Supabase, service d'emails, GitHub)
- Rapports de scanners automatiques sans preuve d'impact
- En-têtes manquants ou cookies sans scénario exploitable
- Self-XSS
- Énumération de comptes ou absence de rate limit sans impact
03Règles du jeu
- 01Tes propres comptesTeste uniquement avec des comptes que tu as créés. Jamais sur les données des autres utilisateurs.
- 02Le minimum pour prouverArrête-toi dès que l’impact est démontré. Pas d’extraction, de modification ou de suppression de données.
- 03Pas de casseAucune action qui dégrade le service ou le rend indisponible pour les autres.
- 04Silence radioPas de divulgation publique avant le correctif, ou [90 jours] après ton rapport. On publie ensemble.
- 05Un rapport par failleUne faille par rapport. Les chaînes de bugs vont dans un seul rapport complet.
- 06Avoir l’âgePour recevoir des goodies, il faut [16 ans] ou l’accord d’un parent pour l’envoi.
Safe harbor
Si tu respectes ces règles de bonne foi, je considère ta recherche comme autorisée et je n’engagerai aucune action contre toi.
04Signaler
- étape 1SignaleConnecte-toi et remplis le formulaire : ton rapport devient un ticket privé.
- étape 2Accusé de réceptionJe confirme la réception sous [72 h].
- étape 3TriageJe reproduis et fixe la sévérité CVSS sous [7 jours].
- étape 4CorrectifJe corrige et te demande de valider le fix.
- étape 5GoodiesEnvoi du pack, entrée au Hall of Fame, write-up si tu es d’accord.
Ce qu’il faut dans ton rapport
- l’URL ou le dépôt concerné et le type de faille
- les étapes pour reproduire, captures à l’appui
- l’impact réel et ta proposition de score CVSS
- le pseudo et le lien à afficher au Hall of Fame
Prêt à envoyer ?
Ton rapport devient un ticket privé : il reste confidentiel et son contenu n’apparaît jamais dans les emails. Un compte est obligatoire : c’est lui qui te permet de suivre ton rapport, d’échanger avec moi et de recevoir tes goodies.
05Hall of Fame
Merci à celles et ceux qui ont rendu ce site plus sûr.
- #1Lux_Fuite d’informations · 11/2026faible11/2026