Politique de divulgation des vulnérabilités

Envoyez votre signalement au moyen de notre page de contact, avec pour objet « Security report », et incluez : le produit, le logiciel ou le service concerné ainsi que sa version ; l’environnement dans lequel le problème a été observé ; des étapes claires permettant de reproduire le problème ; l’impact potentiel ; et tout élément de preuve de concept nécessaire pour confirmer le problème.

Nous nous efforçons d’accuser réception des signalements rapidement, de vous tenir informé tout au long de nos investigations et de vous indiquer si le signalement est accepté et quelles mesures correctives sont prévues. Les délais de correction dépendent de la gravité et de la complexité ; nous pouvons vous demander des précisions ou davantage de détails sur la reproduction du problème.

Pendant vos investigations, veuillez vous abstenir de : accéder à des données qui ne vous appartiennent pas, les modifier ou les supprimer ; dégrader ou perturber nos services ou ceux d’autres utilisateurs ; recourir à l’ingénierie sociale, au hameçonnage ou à des attaques physiques contre notre personnel ou nos locaux ; ou divulguer publiquement les détails du problème avant que nous ayons eu une possibilité raisonnable de publier un correctif.

Si vous faites un effort de bonne foi pour respecter la présente politique pendant vos recherches, nous n’engagerons ni ne soutiendrons aucune action en justice contre vous pour ces recherches, et nous le préciserons clairement à tout tiers qui le demandera. Cette assurance ne s’étend pas aux activités qui enfreignent la loi ou les droits d’autrui.

Les signalements qui reposent uniquement sur des navigateurs ou des systèmes d’exploitation obsolètes, les résultats de scanners automatisés sans impact démontré, l’absence d’en-têtes de sécurité sans exploit pratique, ou l’ingénierie sociale de notre personnel ne sont généralement pas éligibles à une reconnaissance.