Politique de divulgation responsable

Chez Bringme, nous prenons très au sérieux la sécurité et la confidentialité des données de nos utilisateurs et de nos clients. Nous estimons que la collaboration avec la communauté des chercheurs en sécurité est essentielle pour identifier et corriger les vulnérabilités potentielles de nos systèmes et applications. Nous encourageons la divulgation responsable de tout problème de sécurité découvert et apprécions l'aide des chercheurs en sécurité pour maintenir un environnement sûr pour tous. La présente Politique de divulgation responsable définit les règles à suivre pour signaler des vulnérabilités de sécurité à Bringme.

Si vous avez découvert une vulnérabilité de sécurité potentielle sur un actif appartenant à Bringme, nous vous demandons de respecter les règles suivantes :

• Divulgation responsable : faites tout votre possible pour éviter toute action susceptible d'avoir un impact négatif sur nos systèmes, nos utilisateurs ou nos clients. Limitez vos tests à votre propre compte et n'accédez pas à des données qui ne vous appartiennent pas, ne les modifiez pas et ne les consultez pas.

• Signalement confidentiel : transmettez vos constatations à notre équipe de sécurité dès que possible via l'adresse e-mail dédiée security@bringme.com. Nous vous recommandons d'utiliser le chiffrement lorsque vous communiquez des informations sensibles.

• Informations détaillées : lorsque vous signalez une vulnérabilité de sécurité, indiquez tous les détails pertinents pour nous aider à comprendre et à reproduire le problème. Il peut s'agir des étapes permettant de reproduire le problème, d'un code de preuve de concept et de tout autre élément justificatif.

• Confidentialité : nous respectons la vie privée et la sécurité des chercheurs en sécurité. Nous ne partagerons aucune information personnelle sans autorisation explicite, sauf si la loi l'exige. Nous vous demandons également de ne divulguer aucun détail sur la vulnérabilité tant qu'elle n'a pas été corrigée et que nous ne vous y avons pas autorisé.

• Délai de réponse : notre équipe de sécurité fera tout son possible pour accuser rapidement réception de votre signalement et mettra tout en œuvre pour analyser et corriger le problème. Nous nous efforçons de vous tenir régulièrement informé de l'avancement de la correction de la vulnérabilité et travaillerons avec vous pour vérifier et valider le correctif.

• Divulgation publique : nous remercions les chercheurs de leur patience pendant que nous analysons et corrigeons les vulnérabilités signalées. Nous vous demandons de vous abstenir de divulguer la vulnérabilité au public.

• Conduite légale : nous encourageons un comportement responsable et éthique, conforme à la loi. Si vous découvrez une vulnérabilité, abstenez-vous de l'exploiter pour quelque raison que ce soit, notamment pour un accès non autorisé, une exfiltration de données ou une interruption de service. De telles activités sont strictement interdites et peuvent donner lieu à des poursuites judiciaires.

• Reconnaissance : nous reconnaissons et apprécions la précieuse contribution des chercheurs en sécurité qui nous aident à renforcer notre niveau de sécurité. En fonction de la gravité et de l'impact de la vulnérabilité signalée, nous pouvons envisager une reconnaissance publique dans notre tableau d'honneur afin d'exprimer notre gratitude. Nous nous réservons toutefois le droit de déterminer l'éligibilité à toute reconnaissance ou récompense ainsi que sa nature. Les récompenses financières ne sont pas actives pour le moment.

En soumettant un signalement de vulnérabilité de sécurité à Bringme, vous acceptez de respecter les règles définies dans la présente Politique de divulgation responsable.

Modèle à utiliser pour signaler une vulnérabilité :

• Quelle est la preuve de concept ? Documentez-la avec des captures d'écran ou un enregistrement d'écran, ou notez chaque étape de la manière la plus détaillée possible.
• De quelle manière la vulnérabilité décrite peut-elle être exploitée par des personnes malveillantes, et quelles sont les conditions requises ? Soyez très précis, pas général.
• Quel est l'impact ?
• Avec quel compte avez-vous effectué le test ?
• Quel est l'endpoint exact que vous avez testé ?
• Quelle est votre proposition concrète pour corriger cette vulnérabilité ?

Les vulnérabilités suivantes sont hors du périmètre :

• Clickjacking sur des pages sans actions sensibles ou sans actions authentifiées
• Divulgation de la version d'un logiciel / problèmes d'identification par bannière
• Bonnes pratiques e-mail non appliquées (enregistrements SPF/DKIM/DMARC invalides, incomplets ou absents, etc.)
• Bonnes pratiques non appliquées dans la configuration SSL/TLS
• Redirection ouverte (open redirect), sauf si un impact supplémentaire sur la sécurité peut être démontré
• Cross-Site Request Forgery (CSRF) sur des formulaires non authentifiés ou des formulaires sans actions sensibles
• Tout ce qui concerne les en-têtes de sécurité HTTP, par exemple : Strict-Transport-Security / X-Frame-Options / X-XSS-Protection / X-Content-Type-Options / Content-Security-Policy.
• Le signalement d'anciennes versions d'un logiciel sans preuve de concept ni exploit fonctionnel.

Nous apprécions votre engagement pour la sécurité de nos systèmes et de nos utilisateurs. Merci de votre coopération pour nous aider à maintenir un environnement sûr pour tous.

Bringme - security@bringme.com

Version : 1.1