SÉCURITÉ

Politique de sécurité & de divulgation

Nous pénétrons des systèmes pour gagner notre vie, alors nous nous attendons à ce que l'on regarde les nôtres de près. Si vous trouvez un problème de sécurité dans nos systèmes, voici comment nous le signaler et ce que nous promettons en retour.

La version anglaise de cette politique fait foi. Cette traduction française est fournie à titre de commodité.

Signaler un problème

Écrivez à [email protected] avec assez de détails pour reproduire le problème : l'actif concerné, les étapes et l'impact que vous avez observé. Une courte preuve de concept aide. Notre contact lisible par machine est publié à l'adresse /.well-known/security.txt.

Nos engagements envers vous

Nous accuserons réception de votre signalement sous trois jours ouvrés.
Nous vous tiendrons informé au fil de notre analyse et du travail de correction.
Nous n'engagerons ni ne soutiendrons aucune action en justice contre vous pour une recherche de bonne foi conforme à cette politique.
Avec votre accord, nous serons heureux de vous créditer une fois le problème résolu.

Périmètre

Cette politique couvre les actifs que nous possédons et exploitons, principalement offensive.technology et ses subdomains. Les systèmes de nos clients ne sont jamais dans ce périmètre ; ils sont régis par leur propre autorisation et leurs propres règles d'engagement, et vous ne devez pas les tester.

Règles pour une recherche de bonne foi

Pour rester protégé par cette politique, merci de :

Rester dans le périmètre ci-dessus, et vous arrêter dès que vous avez confirmé une vulnérabilité.
Ne pas accéder, modifier ou supprimer des données qui ne sont pas les vôtres. Utilisez des comptes de test et une preuve minimale.
Ne pas dégrader notre service. Pas de déni de service, pas de scan automatisé à haut volume qui perturbe la disponibilité.
Ne pas faire d'ingénierie sociale sur nos collaborateurs ou des tiers, et ne pas viser d'installations physiques.
Nous laisser une chance raisonnable de corriger le problème avant toute divulgation publique, et coordonner le calendrier avec nous.

PAS DE PRIME, RÉPONSE FRANCHE Nous ne gérons pas de programme de bug bounty rémunéré aujourd'hui. Nous ne prétendrons pas le contraire pour attirer des signalements. Ce que nous offrons, c'est une réponse rapide et honnête, une vraie correction, et le crédit si vous le souhaitez. Si cela change, cette page le dira.

Safe harbor

Nous considérons comme autorisée toute recherche en sécurité menée de bonne foi et conformément à cette politique. Nous ne la traiterons pas comme une violation de nos conditions, et nous travaillerons avec vous plutôt que contre vous. Si un tiers engage une action au sujet d'une recherche conforme à cette politique, nous rendrons notre autorisation explicite.