Politique de divulgation des vulnérabilités

Socialinsider - un produit de Code Path SRL

Socialinsider s'engage à assurer la sécurité de ses utilisateurs en protégeant leurs informations. Cette politique fournit aux chercheurs en sécurité des directives pour mener des activités de recherche de vulnérabilités et des instructions sur la manière de nous signaler des vulnérabilités.

Cette politique décrit les systèmes et les types de recherche couverts, la manière de nous envoyer des rapports de vulnérabilité et le délai pendant lequel nous demandons aux chercheurs en sécurité d'attendre avant de divulguer publiquement des vulnérabilités. Nous t'encourageons à nous contacter pour signaler d'éventuelles vulnérabilités dans nos systèmes.

Si tu fais des efforts sincères pour respecter cette politique pendant ta recherche en sécurité, nous considérerons ta recherche comme autorisée et nous collaborerons avec toi pour comprendre et résoudre rapidement le problème. Socialinsider ne recommandera ni n'engagera de poursuites judiciaires liées à ta recherche. Si un tiers engage des poursuites judiciaires contre toi pour des activités menées conformément à cette politique, nous ferons savoir que cette autorisation existe.

Directives

Dans le cadre de cette politique, la « recherche » désigne les activités dans lesquelles, en tant que chercheur en sécurité, tu :

• Nous informes dès que possible après avoir découvert un problème de sécurité.
• Fais tout ton possible pour éviter les atteintes à la vie privée, la dégradation de l'expérience utilisateur, les perturbations des systèmes de production ainsi que la destruction ou la manipulation de données.
• Utilises des exploits uniquement dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité. N'utilise pas d'exploit pour compromettre ou exfiltrer des données, établir un accès persistant à la ligne de commande ou pivoter vers d'autres systèmes.
• Nous accordes un délai raisonnable pour résoudre le problème avant de le divulguer publiquement.
• Ne soumets pas un grand nombre de rapports de faible qualité.

Pour nous aider à comprendre les rapports, nous te recommandons de :

• Décrire l'emplacement où la vulnérabilité a été découverte ainsi que l'impact potentiel de son exploitation.
• Fournir une description détaillée des étapes nécessaires pour reproduire la vulnérabilité - les captures d'écran ou les enregistrements vidéo sont utiles.
• Rédiger ta soumission en anglais

Une fois que tu as établi l’existence d’une vulnérabilité ou que tu as découvert des données sensibles (y compris des informations permettant d’identifier une personne, des informations financières, ou des informations exclusives ou des secrets commerciaux de toute partie), tu dois interrompre ton test, nous en informer immédiatement et ne divulguer ces données à personne d’autre.

Pratiques interdites

Les méthodes de test suivantes ne sont pas autorisées :

• Tests de déni de service (DoS ou DDoS) ou autres tests qui entravent l’accès aux systèmes
• Tests de vulnérabilités non techniques

Cette politique s’applique aux systèmes et services suivants :

• https://www.socialinsider.io
• https://app.socialinsider.io

Tout service qui n’est pas expressément listé ci-dessus, comme les services connectés, est exclu du périmètre et n’est pas autorisé pour les tests.
De plus, les vulnérabilités trouvées dans les systèmes de nos fournisseurs ne relèvent pas du périmètre de cette politique et doivent être signalées directement au fournisseur conformément à sa politique de divulgation, le cas échéant.
Si tu ne sais pas si un système entre dans le périmètre ou non, contacte-nous à security@socialinsider.io avant de commencer tes recherches

Si tu penses qu'un système particulier, hors périmètre, mérite d'être testé, contacte-nous pour en discuter au préalable. Le périmètre de cette politique peut être étendu au fil du temps.

Signaler une vulnérabilité

Les informations transmises dans le cadre de cette politique seront utilisées uniquement à des fins défensives – pour atténuer ou corriger les vulnérabilités.

Si tes résultats incluent de nouvelles vulnérabilités qui affectent tous les utilisateurs d'un produit ou service, et pas uniquement Socialinsider, nous pouvons partager ton rapport avec des tiers, où il sera traité dans le cadre de leur processus coordonné de divulgation des vulnérabilités.

Nous ne partagerons pas tes informations de contact sans ton autorisation explicite.
Nous acceptons les rapports de vulnérabilités via security@socialinsider.io. Les rapports peuvent être soumis de manière anonyme.

Lorsque tu choisis de nous communiquer tes coordonnées, nous nous engageons à échanger avec toi de manière aussi transparente et rapide que possible.

• Nous confirmerons la réception de ton signalement sous 7 jours ouvrés.
• Nous te confirmerons l'existence de la vulnérabilité et serons aussi transparents que possible sur les mesures que nous prenons pendant le processus de correction
• Nous resterons en contact au sujet des problèmes.