Programme de primes aux bogues

Ce que nous ne récompensons pas

• Notre site web, son API et nos serveurs : z-text.com et tous ses sous-domaines, la commande en ligne, les paiements et les bons.
• Hormis cette unique exception, tout ce qui exige davantage que les deux points de départ : un autre programme ou une autre commande exécutés sur l'appareil, un débogueur, le root ou le jailbreak, une application modifiée, une sauvegarde ou une copie du stockage de l'appareil, ou la phrase de récupération.
• Deviner un PIN ou un mot de passe.
• Ce que le système d'exploitation conserve ou affiche : les notifications, les captures d'écran, les aperçus d'application, le presse-papiers, le nom de l'application dans les listes du système.
• Ce que le PIN panique et « Effacer le portefeuille » laissent volontairement en place. Ils effacent tout ce que Z-Text conserve pour le compte sur l'appareil : la phrase de récupération, les clés privées, les messages, les contacts et les réglages ; l'application redémarre ensuite à neuf avec de nouveaux fichiers vides. Ils ne touchent pas aux fichiers de sauvegarde que vous avez enregistrés vous-même, par exemple un fichier .ztbk sur une clé USB ou dans un stockage cloud, ni aux copies que le système d'exploitation fait en dehors de l'application : l'historique des notifications, les sauvegardes du système et les instantanés du stockage.
• Ce que peut voir un observateur du réseau ou l'opérateur du nœud auquel vous vous connectez.
• Le contournement à lui seul des contrôles d'altération, de root ou de capture d'écran, ou le déverrouillage de fonctionnalités payantes sur votre propre appareil sans produire de reçu.
• Le mode furtif : c'est un camouflage, pas un verrou.
• Les paramètres et les informations d'installation qui ne sont pas du contenu de messages.
• Les offres gratuites, les promotions, les bons, les récompenses de parrainage, les tolérances et arrondis de paiement, et tout ce qui ne nous coûte que des frais ou de la disponibilité.
• Les découvertes concernant le CAPTCHA, la limitation de débit et les mécanismes de blocage.
• Les comportements décrits dans notre documentation, les problèmes que nous connaissons déjà et les failles connues de composants tiers.
• Les bugs d'interface et de fonctionnement (envoyez-les quand même sous forme de rapports de bugs habituels), le déni de service, les en-têtes de sécurité manquants, les sorties de scanners et l'ingénierie sociale.
• Les services que nous ne développons pas : les prestataires de paiement, Cloudflare, les réseaux BitcoinZ et Zcash, et le lightwalletd standard derrière light.z-text.com.

Rapports

• Un rapport prend rang une fois complet : le résultat que vous avez obtenu, des étapes que nous pouvons reproduire sur un appareil ordinaire, et une preuve. Tout ce qui est antérieur ne prend pas date.
• Il doit fonctionner sur la version publique la plus récente de notre page de téléchargement le jour de votre signalement. Un correctif que nous publions ensuite en raison de votre rapport ne le disqualifie pas.
• Si nous ne parvenons pas à le reproduire, il est clos. L'absence de réponse de votre part sous 14 jours clôt un rapport.

Comment soumettre

Envoyez votre rapport par courriel à [email protected]. Un simple courriel suffit ; le chiffrement PGP est facultatif et entièrement à votre discrétion — nous ne l'exigeons jamais. Nous visons à accuser réception sous 72 heures et à coordonner la divulgation à partir de là.

Règles

• Ne testez que l'application, sur vos propres appareils et avec vos propres portefeuilles. Ne testez pas notre site web, son API ni nos serveurs. N'accédez pas à des données qui ne vous appartiennent pas, ne les modifiez pas et ne les détruisez pas ; ne menez pas de tests de déni de service et ne pratiquez aucune ingénierie sociale.
• Signalez d'abord en privé. Toute publication avant notre accord met fin à l'éligibilité.
• Les membres de l'équipe et les prestataires ne sont pas éligibles.
• Nous n'engagerons aucune poursuite judiciaire contre une recherche de bonne foi respectant ces règles.

Comment nous décidons

• Nous décidons si un rapport est éligible, s'il s'agit d'un doublon, et quelles sont sa gravité et sa récompense. Correspondre aux termes d'un résultat listé ne suffit pas ; nous évaluons ce qui a été réellement obtenu.
• Une seule récompense par cause sous-jacente, telle que nous la déterminons, toutes plateformes, versions et variantes confondues. Une chaîne d'étapes constitue une seule découverte. Le premier rapport complet reçoit la récompense.

Paiement et modifications

• Les récompenses sont versées dans l'ordre d'acceptation, depuis cette cagnotte uniquement, en ZEC au cours du marché au moment de l'envoi. Si la cagnotte ne peut pas couvrir une récompense en totalité, l'auteur du rapport reçoit ce qui reste et le programme prend fin.
• Les heures sont en UTC. Un rapport est reçu lorsqu'il parvient complet à [email protected].
• Nous pouvons modifier le programme ou y mettre fin. Un rapport est évalué selon le texte publié le jour où il est parvenu complet.

Historique des conditions

• Du 4 juin au 4 octobre 2026 : phase 1. De 0,1 à 3 ZEC par découverte, sur un fonds de 7 ZEC.
• À partir du 5 octobre 2026 : phase 2, montants en USD. Le ZEC est passé d'environ 430 $ à environ 1 500 $, si bien que les mêmes paliers en ZEC payaient à peu près trois fois et demie ce que nous avions prévu. Les rapports reçus avant le 5 octobre sont payés aux conditions de la phase 1.
• À partir du 10 octobre 2026 : cette page indique intégralement quels résultats sont récompensés et depuis quels points de départ. Les montants des récompenses sont inchangés ; le palier Faible, limité à un remerciement, est supprimé. Les rapports reçus auparavant sont évalués selon le texte antérieur.
• À partir du 14 octobre 2026 : le programme couvre uniquement l'application Z-Text. Notre site web, son API et nos serveurs sont hors du périmètre, et les deux résultats liés au serveur sous Critique et Élevée sont supprimés. Les montants des récompenses sont inchangés. Les rapports reçus auparavant sont évalués selon le texte antérieur.
• À partir du 16 octobre 2026 : la page indique ce que le PIN panique et « Effacer le portefeuille » effacent et ce qu'ils laissent en place : les fichiers de sauvegarde que vous avez enregistrés vous-même et les copies que le système d'exploitation fait en dehors de l'application. Les montants des récompenses sont inchangés. Les rapports reçus auparavant sont évalués selon le texte antérieur.
• Chaque paiement est listé avec sa date, sa gravité, les conditions appliquées et sa transaction.