Politique de divulgation de vulnérabilités

Périmètre

Cette politique couvre les systèmes exploités par Veync : ce site web, notre infrastructure produit et les services que nous exposons à nos clients. Elle ne couvre pas l'environnement d'un client — si vous pensez avoir trouvé une vulnérabilité dans un système appartenant à l'un de nos clients, contactez cette organisation directement plutôt que nous.

Les constats portant sur des logiciels tiers que nous utilisons simplement sont transmis à l'éditeur en divulgation coordonnée, et nous vous indiquerons quand nous l'avons fait.

Engagement de non-poursuite

Si vous faites un effort de bonne foi pour respecter cette politique pendant vos recherches, Veync n'engagera ni ne soutiendra aucune action en justice contre vous à ce titre, et ne vous signalera pas aux autorités pour cela. Si un tiers engageait une action contre vous pour une activité menée dans le cadre de cette politique, nous ferions connaître cette bonne foi.

La bonne foi signifie : vous vous arrêtez dès que vous avez établi l'existence d'une vulnérabilité, vous n'accédez pas aux données d'autrui et ne les exfiltrez pas, vous ne dégradez pas le service pour les autres, vous n'employez pas l'ingénierie sociale contre nos équipes ou nos clients, et vous nous laissez une occasion raisonnable de corriger avant d'en parler à quiconque.

Cette clause existe parce qu'une politique de divulgation sans engagement de non-poursuite demande au chercheur de prendre un risque juridique pour notre compte, ce qui est la principale raison pour laquelle des constats ne sont jamais signalés.

Ce qu'il faut envoyer

Une description du problème, le point d'accès ou le composant concerné, les étapes nécessaires pour le reproduire, et une appréciation de ce qu'un attaquant pourrait en obtenir. Une reproduction minimale est bien plus utile qu'un export d'analyseur.

Merci de ne pas inclure de données appartenant à un tiers. Si la démonstration a nécessairement exposé de telles données, dites-le et décrivez-les plutôt que de les joindre.

Si votre signalement contient des éléments sensibles, demandez notre clé publique PGP actuelle à [email protected] avant de l'envoyer.

Ce que vous pouvez attendre de nous

Nous accusons réception de chaque signalement sous trois jours ouvrés et donnons une première appréciation sous dix. Nous vous dirons si nous considérons le problème dans le périmètre, notre évaluation de sa gravité et notre calendrier de correction envisagé, et nous vous tiendrons informé de ses évolutions.

Nous créditons les chercheurs nommément dans tout avis publié, sauf demande contraire de votre part. Veync n'exploite pas aujourd'hui de programme de primes rémunéré et nous le disons clairement plutôt que de laisser la question ouverte.

Hors périmètre

Les signalements constitués uniquement d'un export d'analyseur sans impact démontré, les en-têtes de sécurité manquants sans conséquence exploitable, les problèmes théoriques sans chemin d'attaque réaliste, le déni de service par volume, l'ingénierie sociale de nos équipes et les attaques physiques contre nos locaux.

Cette liste ne porte aucun jugement sur la technique. Elle dit simplement sur quoi nous pouvons agir.