Politique de divulgation des vulnérabilités
Chargezen invite les chercheurs en sécurité à divulguer les vulnérabilités de manière responsable. Nous nous engageons à collaborer avec la communauté de la sécurité pour protéger nos clients.
Signaler une vulnérabilité
Vous avez découvert un problème de sécurité ? Veuillez le signaler de manière responsable. Merci de nous aider à préserver la sécurité de Chargezen.
Délai de réponse prévu
24 heures
Problèmes critiques : le même jour ouvré
Dans le périmètre
- chargezen.com et tous ses sous-domaines
- admin.chargezen.com (tableau de bord marchand)
- api.chargezen.com (API REST et GraphQL)
- Applications mobiles Chargezen (iOS, Android)
- Extensions de navigateur Chargezen
- Projets open source sous github.com/chargezen
Hors périmètre
- Services et intégrations tiers
- Comptes ou appareils personnels des employés de Chargezen
- Attaques contre la sécurité physique ou par ingénierie sociale
- Attaques par déni de service (DoS/DDoS)
- Spam ou ingénierie sociale
- Vulnérabilités déjà signalées
- Problèmes nécessitant un accès physique aux appareils
Primes aux vulnérabilités
Les primes sont déterminées selon la gravité, l’impact et la qualité du rapport.
Critique
Exécution de code à distance, injection SQL, contournement de l’authentification, violation de données
US$5 000 - US$15 000
Exemples :
Élevée
Exposition importante de données, élévation de privilèges, XSS stocké avec impact
US$1 000 - US$5 000
Exemples :
Moyenne
Exposition limitée de données, CSRF, XSS réfléchi, divulgation d’informations
US$250 - US$1 000
Exemples :
Faible
Problèmes mineurs, non-respect des bonnes pratiques, divulgation d’informations à faible impact
US$50 - US$250
Exemples :
Règles de divulgation responsable
Ce que nous vous demandons
- Fournir des rapports détaillés avec les étapes de reproduction
- Nous accorder un délai raisonnable pour corriger les problèmes avant divulgation (90 jours)
- Ne pas accéder aux données d’autrui, les modifier ou les supprimer
- Ne pas mener d’attaques qui dégradent le service (DoS)
- Ne pas utiliser d’outils d’analyse automatisés sans coordination
- Agir de bonne foi pour éviter les atteintes à la vie privée
Nos engagements
- Répondre aux rapports sous 24 heures
- Collaborer avec vous pour comprendre et valider les problèmes
- Vous informer de l’avancement de la correction
- Ne pas engager de poursuites pour les recherches menées de bonne foi
- Reconnaître publiquement les chercheurs (avec leur permission)
- Verser les primes rapidement après validation
Éléments à inclure dans votre rapport
Les rapports de qualité nous aident à corriger les problèmes plus rapidement et peuvent donner lieu à des primes plus élevées.
Type de vulnérabilité
Classification (XSS, SQLi, IDOR, etc.)
URL ou point de terminaison affecté
Emplacement précis de la vulnérabilité
Étapes de reproduction
Étapes claires et numérotées que chacun peut suivre
Preuve de concept
Captures d’écran, vidéos ou code démontrant le problème
Évaluation de l’impact
Impact potentiel en cas d’exploitation par un attaquant
Correction suggérée
Recommandations facultatives mais appréciées
Protection juridique
Lorsque les recherches en sécurité respectent cette politique, nous les considérons comme :
- Autorisées : nous n’engagerons aucune action civile ou pénale contre les chercheurs agissant de bonne foi.
- Licites : nous travaillerons avec vous pour comprendre et résoudre rapidement les problèmes et ne déposerons pas plainte contre les chercheurs respectant cette politique.
- Utiles : nous coordonnerons la divulgation avec vous et vous citerons, si vous le souhaitez, lors de la publication des correctifs.
Prêt à signaler une vulnérabilité ?
Aidez-nous à préserver la sécurité de Chargezen. Envoyez votre rapport et rejoignez notre tableau d’honneur de la sécurité.
