Politique de divulgation coordonnée des vulnérabilités
Comment nous traitons les signalements de vulnérabilités et leur divulgation
Objectif
BudgetBakers encourage le signalement responsable des vulnérabilités de sécurité dans ses produits.
L'objectif de cette politique est de permettre aux chercheurs en sécurité, aux utilisateurs et aux autres parties de signaler en toute sécurité des vulnérabilités potentielles, et de permettre leur examen et leur correction avant que les détails techniques ne soient rendus publics.
Champ d'application
Cette politique s'applique aux vulnérabilités de sécurité potentielles dans les produits BudgetBakers. Elle couvre également les vulnérabilités des composants tiers lorsque :
- Le composant est intégré à un produit BudgetBakers, ou
- Sa vulnérabilité affecte la sécurité d'un produit BudgetBakers
Elle ne s'applique pas aux produits tiers autonomes qui ne font pas partie d'un produit BudgetBakers et n'ont aucun impact sur sa sécurité.
Règles de recherche en sécurité
BudgetBakers demande aux personnes effectuant un signalement de :
- Agir de bonne foi et dans le but d'améliorer la sécurité
- Ne tester que leurs propres comptes et leurs propres données dans la mesure du possible
- Limiter au minimum l'accès aux données d'autres utilisateurs
- Ne pas copier ni conserver de données personnelles ou financières, sauf si nécessaire pour démontrer la vulnérabilité
- Cesser les tests dans cette direction en cas d'accès accidentel aux données d'un autre utilisateur
- Ne pas perturber la disponibilité du service
- Ne pas effectuer de tests DoS/DDoS
- Ne pas recourir à l'ingénierie sociale contre les employés ou les utilisateurs
- Ne pas mener d'attaques physiques
- Ne pas effectuer de tests destructifs
- Ne pas utiliser l'accès obtenu à d'autres fins que la vérification de la vulnérabilité
Que se passe-t-il après votre signalement
Dès réception d'un signalement, BudgetBakers :
- 1Enregistre le signalement
- 2Effectue un premier triage de sécurité
- 3Demande des informations complémentaires si nécessaire
- 4Vérifie la reproductibilité et l'impact de la vulnérabilité
- 5Détermine comment la corriger ou l'atténuer
- 6Coordonne toute divulgation publique
- 7Informe la personne à l'origine du signalement du résultat, le cas échéant
Divulgation coordonnée
Nous demandons de ne pas publier les détails techniques d'une vulnérabilité avant qu'un correctif ou une mesure d'atténuation appropriée ne soit disponible pour les utilisateurs, ou avant une autre date convenue avec BudgetBakers.
BudgetBakers s'efforcera de coordonner la divulgation avec la personne à l'origine du signalement de manière raisonnable et transparente.
Bug bounty
BudgetBakers n'exploite actuellement aucun programme public de bug bounty. Le signalement d'une vulnérabilité ne donne pas en soi droit à une récompense financière ou autre.
Dans des cas exceptionnels, BudgetBakers peut, à sa seule discrétion, offrir une récompense pour une découverte de sécurité particulièrement importante ou bien documentée.
Recherche responsable / safe harbour
BudgetBakers n'a pas l'intention d'engager de poursuites judiciaires uniquement en raison d'une recherche en sécurité menée de bonne foi et conformément à cette politique.
Cela ne s'applique pas aux comportements visant à nuire à l'entreprise, à ses utilisateurs ou à des tiers, ni aux comportements qui dépassent manifestement ce qui est nécessaire pour vérifier la vulnérabilité.
Vous avez trouvé une vulnérabilité ?
Signalez-la via notre point de contact sécurité.