Politique de divulgation des vulnérabilités
Chargezen accueille les signalements de vulnérabilités de sécurité que vous découvrez. Cette politique concerne uniquement les signalements : les tests actifs des systèmes de production de Chargezen ne sont pas autorisés.
Signaler une vulnérabilité
Vous avez découvert un problème de sécurité ? Signalez-le-nous et n’enquêtez pas davantage. Merci de nous aider à préserver la sécurité de Chargezen.
Délai de réponse prévu
24 heures
Problèmes critiques : le même jour ouvré
Ce que vous pouvez signaler
- Problèmes de sécurité que vous remarquez en utilisant Chargezen pour votre entreprise
- Identifiants, clés ou données clients de Chargezen que vous trouvez exposés publiquement
- Problèmes que vous trouvez en examinant hors ligne le code open source publié sur github.com/chargezen
Non autorisé
- Tests actifs des systèmes de production de Chargezen, notamment l’analyse, les tests d’intrusion et le fuzzing
- Création de comptes, d’espaces de travail ou de postes d’employés pour tester les services
- Tests de charge, tests de stress ou analyses comparatives de performances des services
- Attaques par déni de service (DoS/DDoS)
- Attaques contre la sécurité physique ou par ingénierie sociale
- Accès à des données qui ne vous appartiennent pas, leur modification ou leur conservation
Règles de divulgation responsable
Ce que nous vous demandons
- Décrire ce que vous avez remarqué et où vous l’avez remarqué
- Nous accorder un délai raisonnable pour corriger les problèmes avant divulgation (90 jours)
- Ne pas accéder aux données d’autrui, les modifier ou les supprimer
- Ne pas tester, analyser ni sonder les systèmes de production de Chargezen
- Vous arrêter dès que vous remarquez un problème et ne pas enquêter davantage
- Ne conserver aucune des données que vous avez vues et les supprimer une fois votre signalement envoyé
Nos engagements
- Répondre aux rapports sous 24 heures
- Collaborer avec vous pour comprendre et valider les problèmes
- Vous informer de l’avancement de la correction
- Ne pas engager de poursuites pour les signalements faits de bonne foi conformément à cette politique
- Vous citer publiquement (avec votre autorisation)
Éléments à inclure dans votre rapport
Des rapports clairs nous aident à corriger les problèmes plus vite. Nous ne versons aucune récompense pour les signalements ni pour les tests.
Type de vulnérabilité
Classification (XSS, SQLi, IDOR, etc.)
URL ou point de terminaison affecté
Emplacement précis de la vulnérabilité
Ce que vous avez vu
Ce qui s’est passé lors d’une utilisation normale et comment vous l’avez remarqué
Éléments de preuve
Captures d’écran ou notes de ce que vous avez vu, sans code d’exploitation
Évaluation de l’impact
Impact potentiel en cas d’exploitation par un attaquant
Correction suggérée
Recommandations facultatives mais appréciées
Protection juridique
Cette protection couvre les signalements de bonne foi d’une vulnérabilité découverte sans test actif, lorsque vous vous êtes arrêté dès que vous l’avez remarquée, que vous n’y avez pas accédé ni ne l’avez exploitée davantage et que vous n’avez conservé aucune donnée. Elle ne couvre pas les tests actifs des systèmes de production, que nos Conditions d’utilisation interdisent. Pour ces signalements :
- Aucune poursuite : nous n’engagerons aucune action civile ou pénale contre vous pour votre signalement.
- Collaboration : nous travaillerons avec vous pour comprendre et résoudre rapidement le problème.
- Utiles : nous coordonnerons la divulgation avec vous et vous citerons, si vous le souhaitez, lors de la publication des correctifs.
Prêt à signaler une vulnérabilité ?
Aidez-nous à préserver la sécurité de Chargezen. Si vous avez découvert une vulnérabilité, signalez-la à notre équipe de sécurité.
