Construire le portefeuille le plus sécurisé de l’écosystème tout en gardant le contrôle aux utilisateurs
Audits de sécurité
La sécurité est au cœur de notre développement. Nos bibliothèques ont été auditées par des experts en sécurité et des chercheurs indépendants. Les rapports sont publics :
Diligence - Août 2025 - Contrat mUSD rapport - Audits supplémentaires du contrat mUSD M^Zero Labs : ChainSecurity, Guardian
OtterSec - Octobre 2024 - LavaMoat Webpack Plugin rapport
Diligence - Octobre 2024 - Delegation Framework rapport
Diligence - Août 2024 - Delegation Framework rapport
Diligence - Juin 2024 - Delegator rapport
Cure53 - Avril 2024 - Key-Tree Interface rapport
Cure53 - Mars 2024 - Signing Snap & Codebase rapport
Least Authority - Septembre 2023 - Snaps rapport
Least Authority - Septembre 2023 - Snaps Extension Integration rapport
Cure53 - Février 2023 - Key-Tree Interface rapport
Least Authority 2022 - Seed Phrase Implementation rapport
Least Authority - Mars 2020 - LavaMoat Plugin rapport
Least Authority - Novembre 2019 - Permissions System + CapNode rapport
Least Authority - Avril 2019 - Application mobile rapport
Cure53 - Août 2017 - MetaMask Pentest rapport
Programme de Bug Bounty MetaMask
Nous collaborons avec une communauté active de chercheurs en sécurité dans le cadre de notre programme de Bug Bounty afin d'améliorer continuellement la sécurité de MetaMask.
Votre participation à ce programme de Bug Bounty est volontaire et soumise aux conditions générales énoncées ci-dessous. En signalant une vulnérabilité à MetaMask, et donc à Consensys, vous reconnaissez avoir lu et accepté de vous conformer pleinement aux règles divulguées dans ce programme.
Signaler une vulnérabilité
Si vous pensez avoir identifié une potentielle vulnérabilité de sécurité dans nos produits ou services, veuillez nous la signaler en utilisant l'une des options suivantes. Veuillez ne pas créer de ticket public ni discuter de la vulnérabilité dans des espaces publics tels que Discord, Slack, Twitter, etc.
Options de signalement, si vous pensez avoir trouvé une vulnérabilité :
Soumettez un rapport via la plateforme HackerOne https://hackerone.com/metamask
Si vous ne pouvez pas utiliser HackerOne, nous apprécions les rapports directs envoyés à [email protected]. Si vous disposez de données que vous jugez particulièrement sensibles et souhaitez les chiffrer avant de nous les envoyer, veuillez utiliser la clé OpenPGP pour le chiffrement, disponible en bas de cette page.
Les spécialistes en sécurité blockchain et les membres de notre communauté DeFi souhaitant accéder à notre environnement de test authentifié peuvent demander l'accès à nos programmes Consensys https://hackerone.com/consensys.
Nous ferons de notre mieux pour traiter toutes les vulnérabilités dans les plus brefs délais et coordonner la divulgation des résultats avec le chercheur. Tous les autres bugs non liés à la sécurité dans le code source doivent être signalés comme un ticket sur GitHub.
Politique de divulgation responsable des vulnérabilités au public
Notre politique de divulgation responsable repose sur un processus dans lequel les vulnérabilités sont d'abord triées et traitées de manière confidentielle, et ne sont rendues publiques qu'après un délai raisonnable. Cela permet de corriger la vulnérabilité et de proposer un chemin de mise à jour aux utilisateurs. La politique de divulgation responsable contribue à protéger les utilisateurs du projet contre les vulnérabilités de sécurité rendues publiques avant qu'un correctif ne soit publié.
Veuillez vous abstenir de tout acte malveillant mettant en danger nos utilisateurs, le projet ou l'un des membres de l'équipe du projet.
Veuillez ne pas divulguer vos découvertes en dehors de ce programme tant que nous n'avons pas eu l'occasion de les examiner et de les traiter avec vous.
Suivez les directives de divulgation de HackerOne.