Politique de sécurité - Mintfull Agency

Cette page explique comment nous signaler une vulnérabilité, ce que nous faisons ensuite, et comment nous protégeons ce site et les sites que nous hébergeons pour nos clients. Dernière mise à jour le 7 octobre 2026.

Signaler une vulnérabilité

Vous pensez avoir trouvé une faille sur ce site, dans l’un de nos modules PrestaShop ou sur un site que nous maintenons ? Écrivez-nous à contact@mintfull.agency, avec « Vulnérabilité » en objet. Pour que nous puissions la reproduire, indiquez :

l’adresse ou le module concerné, et sa version ;
la nature du problème et son impact possible ;
les étapes pour le reproduire, avec une preuve de concept si vous en avez une ;
un moyen de vous recontacter.

Merci de ne pas rendre la faille publique avant sa correction, de ne consulter que les données strictement nécessaires pour la démontrer, et de ne rien faire qui dégrade le service (déni de service, envoi massif, sollicitation de nos clients ou de notre équipe).

Ce que nous faisons ensuite

Nous accusons réception de votre signalement sous 24 heures ouvrées.
Nous analysons son impact et planifions un correctif sous 30 jours au plus, plus vite quand la faille est grave.
Pour une faille de l’un de nos modules dont le score CVSS atteint 7,5, nous publions un avis de sécurité avec un identifiant CVE.
Aucune correction n’est publiée en silence : les versions concernées et la version corrigée sont indiquées.
Nous ne poursuivons pas un chercheur qui agit de bonne foi et dans le respect de ces règles.

Nos modules PrestaShop et la Charte TouchWeb

Nos modules suivent la Charte TouchWeb pour une cybersécurité responsable. Nous autorisons TouchWeb SAS à publier sur son site les vulnérabilités corrigées de nos modules : identifiant CVE, description du problème et de sa résolution, versions concernées et version corrigée, et un correctif applicable quand la mise à jour n’est pas possible.

Aucun accord de confidentialité, y compris en marque blanche, n’empêche cette publication : les agences et les marchands qui utilisent nos modules en ont besoin pour leurs propres obligations de conformité, par exemple au titre du standard PCI-DSS ou de sa version allégée SAQ-A.

Comment nous protégeons les sites que nous hébergeons

Ces pratiques s’appliquent à ce site et aux sites hébergés sur notre infrastructure, chez OVH à Roubaix. Pour un site hébergé ailleurs, nous les appliquons dans la mesure de ce que permet l’hébergeur.

Code versionné. Le code de chaque site vit dans un dépôt Git. Une mise en production est un déploiement depuis ce dépôt, jamais une retouche directe sur le serveur.
Préproduction. Une évolution est vérifiée sur un environnement de préproduction avant d’atteindre la production.
Secrets chiffrés. Mots de passe, clés et jetons d’accès sont chiffrés avec SOPS avant d’être versionnés : aucun secret n’est écrit en clair dans un dépôt.
Sauvegardes quotidiennes. Bases de données et fichiers sont sauvegardés chaque jour, et les sauvegardes sont stockées hors de l’infrastructure qui héberge les sites.
Échanges chiffrés. Les sites sont servis exclusivement en HTTPS (TLS).
Accès nominatifs. Chaque membre de l’équipe intervient avec ses propres accès, sans compte partagé.
Conteneurs sans privilèges. Les applications tournent dans des conteneurs qui ne s’exécutent pas en tant qu’administrateur du système.
En-têtes de sécurité. Le site envoie les en-têtes HTTP qui interdisent son intégration dans une page tierce, bloquent l’interprétation erronée des types de fichiers et limitent l’accès du navigateur à la caméra, à la géolocalisation et au paiement.

En cas d’incident sur un site que nous maintenons

Un incident critique est pris en charge sous 2 heures ouvrées. Nous n’avons pas d’astreinte : un incident signalé en dehors des heures ouvrées est pris en charge à la reprise. Pour toute question sur cette politique : contact@mintfull.agency.