Protéger les élèves et la plateforme

• HTTPS et HSTS pour les connexions au domaine de production.
• Clés des fournisseurs IA gardées côté serveur et absentes du code livré au navigateur ou à l’APK.
• Politique de sécurité du contenu, protection contre l’intégration en iframe et limitation des permissions du navigateur.
• Validation, taille maximale et limitation de débit sur les API publiques.
• Cloudflare Turnstile sur les parcours de compte lorsque configuré.
• Accès cross-origin limité au site officiel et aux origines nécessaires à l’application mobile.
• Dépendances et builds vérifiés avant déploiement.

• Utilisez un mot de passe unique et ne partagez jamais un code ou lien de connexion.
• Téléchargez l’APK uniquement depuis ma3lomate.me.
• N’envoyez pas de pièce d’identité, donnée médicale, mot de passe ou document confidentiel à Ma3lo.
• Déconnectez-vous sur un appareil partagé et effacez les données locales si nécessaire.
• Vérifiez l’adresse du site avant de saisir votre email.

Envoyez un email à lexsinfo@gmail.com avec l’objet « Security report - Ma3loMate ». Indiquez la page concernée, les étapes de reproduction, l’impact observé et, si possible, une preuve sans données personnelles.

Un accusé de réception sera recherché rapidement, puis le problème sera trié selon son impact. Aucun programme de récompense financière n’est actuellement proposé.

Pour protéger les élèves, ne réalisez pas :

• d’accès aux comptes ou données d’autres utilisateurs ;
• de déni de service, spam, ingénierie sociale ou test physique ;
• de modification ou suppression de données ;
• de publication d’une vulnérabilité avant qu’une correction raisonnable soit disponible.

Arrêtez le test dès qu’une donnée non prévue devient visible et signalez immédiatement le problème sans la conserver.

Aucune architecture ne garantit un risque nul. Les protections sont revues à mesure que le produit grandit, que de nouveaux prestataires sont ajoutés et que les risques évoluent.