Cette page est une traduction de courtoisie. En cas de divergence avec la version anglaise, cette dernière prévaut. Lire la version anglaise
Divulgation responsable
Vous avez découvert un problème de sécurité? Dites-le-nous avant que quelqu'un d'autre ne le découvre à vos dépens.
Nous prenons au sérieux les signalements des chercheurs externes et préférons les recevoir directement plutôt que de découvrir un article après coup. Cette page décrit ce qui est visé, comment effectuer un signalement et à quoi vous attendre en retour.
Portée
Ce que couvre cette politique.
Dans la portée
- myshieldid.com et ses pages américaines à myshieldid.com/us, les domaines de redirection shieldid.ca et myshieldid.ca, ainsi que leurs sous-domaines, y compris le site de marketing, le parcours de vérification et le portail de compte
- L'API publique de ShieldID
- L'authentification, la gestion des sessions et le contrôle d'accès sur tout système exploité par ShieldID
Hors du périmètre
- Les produits et sites que nous n'exploitons pas, même s'ils utilisent ShieldID (RentKey, Crown Ledger et Trust Ledger ont leurs propres contacts en sécurité)
- Les services tiers avec lesquels nous nous intégrons, sauf si le problème tient à la façon dont nous les utilisons
Comment effectuer un signalement
Écrivez-nous par courriel. Ne publiez pas de signalement public et ne publiez rien au préalable.
Send a report to [email protected] with as much detail as you can, and give us a reasonable window to respond before disclosing publicly.
Veuillez inclure :
- Le type de problème et l'URL, le point de terminaison ou le système touché
- Les étapes pour reproduire le problème, ou une preuve de concept
- Ce à quoi vous avez pu accéder ou ce que vous avez pu réaliser, et comment vous l'avez confirmé
- Tout outil ou script utilisé, afin que nous puissions reproduire exactement vos étapes
Ce que nous promettons
Un accusé de réception, un examen sérieux et aucun ennui juridique pour une recherche menée de bonne foi.
Accusé de réception
Nous visons à accuser réception d'un signalement valide dans les trois jours ouvrables suivant sa réception. Il s'agit d'une cible que nous énonçons publiquement, et non d'une moyenne mesurée.
Une véritable enquête
Chaque signalement est examiné par une personne en mesure d'y donner suite, et non filtré par un formulaire qui ne mène nulle part.
Aucune action en justice pour une recherche de bonne foi
Si vous découvrez et signalez une vulnérabilité de bonne foi, dans le cadre de cette politique, et sans accéder à des données, les modifier ou les exfiltrer au-delà de ce qui est nécessaire pour démontrer le problème, nous n'intenterons aucune action en justice contre vous pour cette recherche.
Aucune prime aux bogues pour l'instant
Nous n'avons actuellement pas de programme rémunéré de primes aux bogues. Nous ne promettrons pas une récompense que nous ne pouvons pas garantir, mais nous promettons de lire ce que vous nous envoyez et d'y donner suite.
Hors du périmètre
Veuillez ne rien faire de ce qui suit dans le cadre d'un signalement.
- Pratiquer l'ingénierie sociale auprès de notre personnel, de nos sous-traitants ou de nos clients
- Tenter d'accéder physiquement à nos bureaux ou à notre infrastructure
- Effectuer des tests de déni de service, ou toute action qui dégrade le service pour de vrais demandeurs
- Effectuer des analyses automatisées à un volume susceptible d'affecter d'autres utilisateurs, sans nous consulter au préalable
- Accéder aux données d'une autre personne, les modifier ou les supprimer au-delà de ce qui est nécessaire pour démontrer un problème
- Le pourriel, l'hameçonnage ou toute tentative de mettre à l'épreuve le jugement de notre personnel plutôt que le système
Protection juridique
Les recherches menées de bonne foi, dans le cadre de cette politique, sont les bienvenues.
Nous considérons que la recherche en sécurité menée conformément à cette politique est autorisée, et nous n'intenterons aucune action en justice pour cette recherche. Il s'agit d'un énoncé général de protection juridique, qui ne remplace pas un avis juridique adapté à votre situation. Si vous n'êtes pas certain qu'un élément est dans le périmètre, demandez-nous avant de le tester.
Questions
Des réponses claires sur le signalement d'une vulnérabilité.
Prêt à effectuer un signalement?
Email [email protected] with what you found.
Incluez les étapes pour reproduire le problème et ce à quoi vous avez pu accéder. Nous nous occuperons du reste.