Politique de signalement des vulnérabilités

Les chercheurs en sécurité contribuent à protéger nos clients et leur travail est le bienvenu. Si vous pensez avoir trouvé un problème de sécurité dans un produit ou un actif numérique d’ABYSSS, écrivez à contact@abysss.io en indiquant « Security report » dans l’objet.

Un signalement utile comprend :

• Le produit, l’URL ou l’actif concerné.
• Des étapes claires pour reproduire le problème, avec une preuve de concept si vous en avez une.
• L’impact que vous estimez.
• Comment vous joindre et, si vous le souhaitez, le nom à créditer.

Cette politique couvre les produits et actifs numériques détenus et exploités par ABYSSS :

• Le site abysss.io et ses sous-domaines.
• Les produits présentés sur notre page Outils .
• Les dépôts de code publics de l’organisation GitHub abysss-io.

Les éléments suivants ne sont pas couverts :

• Les services exploités par d’autres entreprises, même si nous les utilisons. Merci de les signaler au fournisseur.
• Les en-têtes ou bonnes pratiques manquants sans impact de sécurité démontré.
• Les rapports d’outils automatisés qui n’ont pas été vérifiés.
• Le self-XSS, ou les problèmes qui ne touchent que des navigateurs non pris en charge.
• Le clickjacking sur des pages sans action sensible.

• Testez uniquement sur des comptes et des données qui vous appartiennent ou que vous êtes autorisé à utiliser.
• Arrêtez dès que le problème est démontré. Si vous accédez à des données qui ne sont pas les vôtres, ne les copiez pas, ne les modifiez pas, ne les conservez pas, et indiquez-le dans votre signalement.
• N’effectuez pas de test de déni de service ni d’analyse automatisée à fort volume, et n’envoyez pas de messages en masse via nos formulaires.
• N’utilisez pas l’ingénierie sociale, le phishing ou l’intrusion physique contre nos équipes, nos bureaux ou nos clients.
• Laissez-nous un délai raisonnable pour corriger le problème avant d’en parler à quiconque.
• Ne demandez pas de paiement en échange de la rétention ou de la publication d’un résultat.

Lorsque vous signalez un problème conformément à cette politique, nous nous engageons à :

• Accuser réception de votre signalement sous 5 jours ouvrés.
• Vous dire si nous avons pu confirmer le problème et vous tenir informé de nos travaux.
• Vous prévenir de la correction et convenir avec vous de toute publication.
• Vous citer publiquement si vous le souhaitez.

Nous ne proposons pas de rémunération pour les signalements à ce jour.

Nous n’engagerons pas de poursuites contre vous et ne vous signalerons pas aux autorités pour des recherches menées de bonne foi et conformément à cette politique. Si un tiers engage une action au sujet de ces recherches, nous ferons savoir que vous avez agi dans le cadre de cette politique. Cet engagement concerne uniquement ABYSSS et ne peut lier d’autres entreprises ou autorités.