Keybe/Juridique/Programme de divulgation des vulnérabilités

Programme de divulgation des vulnérabilités

Notre Programme de divulgation des vulnérabilités vise à réduire au minimum l'impact de toute faille de sécurité sur notre outil ou sur les utilisateurs. Pour être éligible au Programme, la vulnérabilité doit exister dans la dernière version publique. Nous vous rappelons que seules les vulnérabilités de sécurité seront évaluées.

Lignes directrices et limites du périmètre

Avant tout signalement, veuillez prendre connaissance des informations suivantes, notamment notre calendrier de divulgation des vulnérabilités, notre périmètre et nos autres lignes directrices. Afin d'encourager la recherche de vulnérabilités et d'éviter toute confusion entre un piratage de bonne foi et une attaque malveillante, nous vous demandons :

  1. De respecter le présent Programme de divulgation, ainsi que tout autre accord applicable.
  2. De ne causer aucun dommage, de ne pas entraver le fonctionnement de l'application et de ne pas agir en violation de notre Accord sur les conditions d'utilisation.
  3. De ne pas accéder intentionnellement à des données non publiques de Keybe au-delà de ce qui est nécessaire pour démontrer la vulnérabilité.
  4. De ne pas accéder à des données appartenant à une autre personne que vous, ni de les modifier, détruire, enregistrer, transmettre, altérer, transférer, utiliser ou consulter. Si une vulnérabilité donne accès par inadvertance à des données, interrompez vos tests, supprimez les informations stockées localement et soumettez immédiatement un rapport.
  5.  D'éviter de porter atteinte à la vie privée d'autrui, de perturber nos systèmes, de détruire des données et/ou de dégrader l'expérience utilisateur.
  6. De ne pas compromettre la confidentialité ou la sécurité de nos clients, ni le fonctionnement de nos services. Une telle activité sera considérée comme illégale.
  7. De préserver la confidentialité des détails de toute vulnérabilité découverte, conformément au présent Calendrier de divulgation. Toute divulgation publique non coordonnée d'une vulnérabilité peut entraîner l'exclusion du présent programme.
  8. De respecter les lois et réglementations applicables.
  9. D'utiliser exclusivement les canaux officiels désignés pour échanger avec nous des informations relatives aux vulnérabilités.
  10. Dès lors que vous menez une recherche de vulnérabilités authentique conformément au présent Programme de divulgation, nous considérons cette recherche comme Autorisée au regard du Computer Fraud and Abuse Act (CFAA) (et/ou des lois similaires des États), et nous n'engagerons ni ne soutiendrons aucune action en justice à votre encontre pour des violations accidentelles et de bonne foi du présent Programme de divulgation commises dans le cadre d'une recherche de vulnérabilités authentique.
  11. Vous êtes exempté au titre du Digital Millennium Copyright Act (DMCA), et nous n'intenterons aucune action en justice à votre encontre pour le contournement de mesures de contrôle technologiques dans le cadre d'une recherche de vulnérabilités authentique menée conformément au présent Programme de divulgation.
  12. Vous êtes exempté des restrictions de notre Accord sur les conditions d'utilisation susceptibles d'entraver la conduite d'une recherche authentique en matière de sécurité et de vulnérabilités, et nous renonçons à ces restrictions, de manière limitée, pour toute recherche de vulnérabilités authentique menée dans le cadre du présent Programme de divulgation.
  13. Que cette recherche soit légale, qu'elle contribue à la sécurité générale d'Internet et qu'elle soit menée de bonne foi.

Nous nous réservons le droit de ne pas donner suite aux constatations qui n'ont pas d'impact réel sur l'intégrité et la sécurité de nos données. Toute recherche qui enfreint les conditions du présent Programme, l'Accord sur les conditions d'utilisation, la documentation relative à la sécurité et le GDPR, ainsi que la législation en vigueur, sera considérée comme un acte de mauvaise foi et traitée comme illégale. Nous ne sommes tenus de verser aucune rémunération, aucun honoraire ni aucune récompense pour la divulgation d'une vulnérabilité ; une telle démarche relève de notre seule appréciation.

Si, à tout moment, vous avez des doutes ou des incertitudes quant à la conformité de votre recherche en matière de sécurité avec le présent Programme de divulgation, veuillez soumettre un rapport via l'un de nos canaux de signalement officiels avant d'aller plus loin.

Périmètre d'application

À ce jour, les services et applications suivants entrent dans le périmètre :

Application et infrastructure web :

Hors périmètre d'application

Nous acceptons uniquement les tests manuels ou semi-manuels. Toutes les constatations issues d'outils automatisés ou de scripts seront considérées comme hors périmètre. En outre, tout problème dont l'impact sur la sécurité n'est pas clairement identifié, l'absence d'en-têtes de sécurité ou les messages d'erreur descriptifs seront considérés comme hors périmètre.

Les éléments suivants sont également considérés comme hors périmètre :

  1. Les attaques conçues pour dégrader, interrompre ou affecter négativement les services ou l'expérience utilisateur, ou susceptibles de le faire (par exemple, déni de service, déni de service distribué, force brute, pulvérisation de mots de passe, spam…).
  2. Les attaques conçues pour détruire, corrompre ou rendre illisibles (ou tenter de le faire) des données ou informations qui ne vous appartiennent pas, ou capables de le faire.
  3. Les attaques conçues pour valider des identifiants volés, la réutilisation d'identifiants, la prise de contrôle de comptes (ATO), le détournement ou d'autres techniques fondées sur les identifiants, ou capables de le faire.
  4. L'accès intentionnel à des données ou informations qui ne vous appartiennent pas, au-delà de l'accès minimal nécessaire pour démontrer la vulnérabilité.
  5. Le fait de mener des attaques physiques, d'ingénierie sociale ou électroniques contre notre personnel, nos bureaux, nos réseaux sans fil ou nos biens.
  6. Les problèmes de sécurité affectant des applications, services ou dépendances tiers qui s'intègrent aux produits ou à l'infrastructure de Keybe et pour lesquels il n'existe pas de preuve de concept démontrable de la vulnérabilité (par exemple, bibliothèques, services SAAS).
  7. Les problèmes de sécurité ou vulnérabilités créés ou introduits par la personne qui les signale (par exemple, la modification d'une bibliothèque de confiance afin d'y inclure une vulnérabilité dans le seul but d'obtenir une récompense).
  8. Les attaques menées contre tout système qui n'est pas expressément mentionné comme autorisé et inclus dans le périmètre d'application.
  9. Les signalements portant sur l'absence de « bonnes pratiques » ou d'autres lignes directrices qui ne révèlent pas de problème de sécurité.
  10.  Les attaques liées aux serveurs de messagerie, aux protocoles de messagerie, à la sécurité des e-mails (par exemple, SPF, DMARC, DKIM) ou au spam.
  11.  L'absence d'attributs de cookies sur des cookies non sensibles.
  12. Les signalements portant sur un chiffrement SSL/TLS non sécurisé (sauf s'ils sont accompagnés d'une preuve de concept fonctionnelle).
  13. Les signalements expliquant comment déterminer si un client donné peut s'authentifier auprès d'un produit ou service amoCRM.
  14.  Les signalements établissant une correspondance entre des noms de code et des noms de clients.
  15.  Les simples rapports d'analyse de ports ou d'adresses IP.
  16. L'absence d'en-têtes HTTP (par exemple, absence de HSTS).
  17. Les bonnes pratiques ou mesures de contrôle relatives à la sécurité des e-mails (par exemple, SPF, DKIM, DMARC).
  18. Les bannières, empreintes ou identifications de logiciels ou d'infrastructures sans vulnérabilité avérée.
  19. Les signalements de clickjacking ou d'autoXSS.
  20.  Les signalements d'enregistrements DNS résolubles publiquement ou accessibles à des hôtes ou infrastructures internes.
  21. L'hameçonnage fondé sur des noms de domaine, le typosquatting, les punycodes, les bitflips ou d'autres techniques.
  22.  La violation de toute loi ou le manquement à tout accord (ou tout signalement s'y rapportant).

Rapport

Les résultats doivent être étayés par une documentation claire et précise, sans informations spéculatives. Chaque constatation doit préciser sa pertinence et son impact. Pensez à fournir un résumé détaillé de la vulnérabilité, comprenant l'objectif, les étapes, les outils et les artefacts utilisés lors de la découverte, afin de nous permettre de reproduire la vulnérabilité.

Pour garantir la bonne transmission de vos observations, vous devez utiliser exclusivement les canaux approuvés, c'est-à-dire signaler la vulnérabilité découverte par e-mail à l'adresse [email protected].