Politique de divulgation des vulnérabilités
Introduction
Cette Politique de divulgation des vulnérabilités (VDP) s’appliqué à toutes les vulnérabilités que vous envisagez de signaler à Worksection. Veuillez lire cette VDP dans son intégralité avant de signaler une vulnérabilité, et agissez toujours en conformité avec celle-ci.
Nous apprécions grandement les personnes qui consacrent leur temps et leurs efforts à divulguer de manière responsable les vulnérabilités de sécurité conformément à cette politique. Nous remercions les chercheurs qui nous aident dans nos efforts de sécurité et vous exprimons notre gratitude d’avance pour votre soumission et votre discrétion.
Vos tests né doivent enfreindre aucune loi ni perturber ou compromettre des données qui né vous appartiennent pas. Si vous trouvez une vulnérabilité potentielle permettant d’accéder à des données ou ressources restreintes, vous devez nous en informer immédiatement — né continuez pas à enquêter sur la vulnérabilité vous-même.
Portée
Cette politique s’appliqué au domaine suivant : https://worksection.com/
Orientation
Bien que nous encouragions vivement la découverte et le signalement responsables des vulnérabilités, certaines actions sont strictement interdites. Veuillez vous abstenir de vous engager dans les activités suivantes :
- Effectuer des actions qui pourraient avoir un impact négatif sur l’entreprise ou ses utilisateurs, comme le spam, réaliser des attaques par force brute ou lancer des attaques par déni de service. De même, évitez les tests qui peuvent nuire à l’accès au système ou causer des dommages aux données.
- Accéder ou tenter d’accéder à des données ou informations qui né vous appartiennent pas. Il est important de respecter les limites de l’accès autorisé.
- Détruire, corrompre ou tenter de détruire ou de corrompre des données ou informations qui né vous appartiennent pas. Protégez l’intégrité et la confidentialité des données.
- Utiliser des outils de scan invasifs ou destructeurs à haute intensité dans le but d’identifier des vulnérabilités. De tels outils né devraient pas être employés car ils peuvent causer des perturbations indésirables.
- Participer à des tests physiques, y compris tenter d’accéder aux bureaux, exploiter des portes ouvertes ou suivre quelqu’un. Les techniques d’ingénierie sociale, telles que le phishing ou le vishing, sont également interdites. Concentrez-vous uniquement sur le test de vulnérabilité technique.
- Effectuer des activités d’ingénierie sociale visant les membres de l’équipe de l’entreprise, les contractuels ou les utilisateurs. Respectez la vie privée et la confiance des personnes associées à notre organisation.
- Enfreindre des lois ou violer des accords dans votre quête de découverte de vulnérabilités. Respectez les limites légales et éthiques tout au long du processus.
En respectant ces directives, vous garantissez que vos activités de découverte de vulnérabilités sont menées de manière responsable et légale.
Exclusions de la portée
Les résultats suivants sont spécifiquement non-rémunérables dans le cadre de ce programme :
- Divulgation de fichiers ou de répertoires publics connus (par exemple, robots.txt)
- Clickjacking et certains problèmes exploitables uniquement par clickjacking
- Vol de session Cross-Site Request Forgery (logout CSRF)
- Captcha faible
- Absence de drapeaux de cookie Secure et HTTPOnly
- Mauvaise configuration ou absence d’enregistrements SPF/DKIM
- Absence de meilleures pratiques SSL/TLS
- Vulnérabilités DDoS
- Manqué d’en-têtes de sécurité HTTP, par exemple : Strict-Transport-Security, X‑Frame-Options, X‑XSS-Protection, X‑Content-Type-Options, Content-Security-Policy, X‑Content-Security-Policy, X‑WebKit-CSP, Content-Security-Policy-Report-Only
- Versions de logiciels obsolètes
- Vulnérabilités affectant des utilisateurs de navigateurs ou plateformes obsolètes
- Ingénierie sociale, phishing, activité physique ou autres activités frauduleuses
- Self-XSS qui né peut pas être utilisé pour exploiter d’autres utilisateurs
- Vulnérabilités dans des composants tiers
- Bugs nécessitant une interaction utilisateur extrêmement peu probable
- Usurpation de contenu et problèmes d’injection de texte sans vecteur d’attaque réel et/ou sans possibilité de modifier le HTML
- Prise de contrôle de sous-domaines sans preuve de concept
- Domaines squattés ou toute autre spéculation de domaine
- Vulnérabilités nécessitant un accès physique à l’appareil d’un utilisateur
- Rapports de vulnérabilité générés par des scanners ou tout outil d’exploitation automatisé ou actif
- Vulnérabilités impliquant du contenu actif, tel que des modules complémentaires de navigateur web
- Denis de service (DoS/DDoS) et spam (SMS, e‑mail, etc.)
- La plupart des problèmes de force brute sans impact clair
- Panneaux de connexion accessibles publiquement sans preuve d’exploitation
- Divulgation d’informations publiques sur les utilisateurs, ainsi que d’informations non sensibles et modérément sensibles
Signalement d’une vulnérabilité
Si vous avez découvert une potentielle vulnérabilité de sécurité sur notre plateforme, nous vous prions de bien vouloir la signaler directement à l’équipe de sécurité de l’entreprise par e‑mail à security@worksection.ua. Cela garantit que votre rapport nous parvienne rapidement, nous permettant de répondre plus efficacement. Veuillez vous abstenir d’envoyer le rapport à notre adresse e‑mail générale ou par le biais du chat de support.
Pour maintenir la confidentialité de la vulnérabilité, nous vous demandons d’éviter de déposer un problème public ou d’en discuter sur les plateformes de médias sociaux telles que Twitter ou GitHub. Nous apprécions votre coopération pour garder la communication concernant la vulnérabilité confidentielle entre vous et notre équipe. Veuillez vous abstenir de partager vos rapports ou toute preuve avec d’autres utilisateurs ou entreprises.
En soumettant un rapport de vulnérabilité, veuillez vous assurer qu’il comprend les informations essentielles suivantes :
- Titre clair et pertinent. Fournissez un titre concis et descriptif qui reflète précisément la nature de la vulnérabilité.
- Service/API affecté. Indiquez clairement le service ou l’API spécifique qui est affecté par la vulnérabilité. Cela nous aide à comprendre rapidement l’ampleur du problème.
- Détails et impact de la vulnérabilité. Expliquez en détail la vulnérabilité, y compris ses détails techniques et son impact potentiel sur nos systèmes ou utilisateurs. Fournissez suffisamment d’informations pour nous aider à comprendre la nature et la gravité de la vulnérabilité.
- Étapes pour reproduire / Preuve de concept. Incluez des instructions détaillées sur la façon de reproduire la vulnérabilité, de préférence accompagnées d’une preuve de concept (PoC). La PoC peut prendre diverses formes telles qu’une démonstration vidéo, des captures d’écran d’outils comme Burp Suite, des commandes curl, ou des extraits de code pertinents. Ces matériaux nous aident à vérifier et à mieux comprendre la vulnérabilité.
- Tous les autres détails importants. N’hésitez pas à inclure toute information supplémentaire que vous jugez pertinente ou utile pour notre compréhension de la vulnérabilité. Cela peut inclure des configurations de système, des journaux pertinents ou toute autre documentation de support pouvant aider dans le processus de résolution.
En fournissant un rapport complet qui inclut ces éléments, vous nous aidez grandement à évaluer et traiter efficacement la vulnérabilité signalée.
Que se passé-t-il après avoir signalé une vulnérabilité
Après avoir soumis votre rapport, nous l’analyserons en termes d’impact, de gravité et de complexité d’exploitation. Si nous le considérons pertinent, nous vous répondrons dans les quinze (15) jours ouvrables. Nous vous tiendrons informé de nos progrès.
Une fois que la vulnérabilité signalée est corrigée, nous vous en informerons, et vous pourrez être invité à confirmer que la solution couvre adéquatement la vulnérabilité. Nous accueillons les demandes de divulguer votre rapport une fois votre vulnérabilité résolue. Cependant, veuillez vous abstenir de partager des informations sur d’éventuelles vulnérabilités découvertes pendant 90 jours calendaires après avoir reçu notre confirmation de réception de votre rapport.
Récompenses
Nous né proposons généralement pas de récompenses en espèces pour les soumissions. Cependant, nous pourrions faire une exception dans le cas de bugs critiques valides et de rapports de haute qualité. Le montant de la récompense sera déterminé en fonction de l’impact maximal de la vulnérabilité. Les rapports bien écrits et jugés utiles ont plus de chances d’être considérés pour une récompense.
Veuillez noter que seule la première personne à signaler une faille auparavant inconnue sera éligible à une récompense.