Politique de divulgation responsable

Chez WebinarGeek, nous reconnaissons le rôle essentiel de la sécurité dans la fourniture de services de qualité à notre base d’utilisateurs mondiale. Malgré nos efforts continus pour protéger nos systèmes, que vous trouverez détaillés ici, des vulnérabilités peuvent apparaître. Nous croyons en une collaboration avec la communauté des chercheurs en sécurité afin d’identifier et de résoudre les problèmes rapidement et efficacement. Nous encourageons les chercheurs et hackers éthiques à nous contacter de manière responsable pour améliorer notre environnement numérique.

Consignes pour signaler les vulnérabilités

Nous invitons les chercheurs et passionnés de sécurité à signaler les vulnérabilités potentielles identifiées dans nos systèmes, en comprenant et en acceptant les consignes suivantes :

Contact : Adressez vos découvertes à security@webinargeek.com. Fournissez des informations détaillées, notamment les étapes permettant de reproduire la vulnérabilité, afin que notre équipe de sécurité puisse valider et traiter le problème rapidement. Nous sommes convaincus que le chiffrement standard des e-mails est suffisant pour garantir la confidentialité nécessaire au signalement d’une vulnérabilité. Toutefois, si vous estimez que votre rapport de vulnérabilité nécessite l’utilisation du chiffrement PGP, vous trouverez notre clé publique en bas de cette page.
Accusé de réception : Nous nous engageons à accuser réception de votre rapport dans un délai de deux jours ouvrables.
Enquête et résolution : Notre équipe dédiée examinera les vulnérabilités signalées et s’efforcera de les résoudre dans la semaine suivant l’accusé de réception. La complexité et la gravité du problème peuvent avoir une incidence sur les délais de résolution.
Confidentialité : Nous vous demandons de préserver la confidentialité de toute vulnérabilité découverte jusqu’à ce que nous l’ayons résolue. Nous coordonnerons avec vous la divulgation publique de toute découverte.
Récompenses et reconnaissance : Bien que tous les rapports ne soient pas nécessairement éligibles à une récompense, nous évaluons les soumissions au cas par cas en vue d’une éventuelle reconnaissance ou récompense. La nature de la récompense dépendra de la gravité et de l’impact de la vulnérabilité découverte.
Protection juridique : Nous nous engageons à ne pas engager de poursuites judiciaires contre les personnes qui signalent des vulnérabilités conformément à ces consignes, à condition qu’elles ne se soient pas livrées à des activités illégales ni à une utilisation abusive de la vulnérabilité découverte.

Ce que nous n’acceptons pas

Les tentatives d’accès, de téléchargement ou de modification de données appartenant à autrui.
Les attaques par déni de service (DoS).
Le spam.
L’ingénierie sociale ou les attaques physiques contre nos biens ou nos données.

Programme de récompenses

Les récompenses sont déterminées en fonction du niveau de risque de la vulnérabilité de sécurité signalée et sont laissées à la discrétion de WebinarGeek.
En cas de rapports en double, la récompense sera attribuée à la première personne ayant effectué le signalement.
Les récompenses sont susceptibles d’être modifiées et peuvent varier selon le caractère unique et la gravité de la vulnérabilité.

Hors champ

Les rapports concernant des problèmes ou demandes non liés à la sécurité.
Les services et logiciels tiers qui ne sont pas directement gérés par WebinarGeek.
Les vulnérabilités publiquement connues qui ont déjà été corrigées.
Les vulnérabilités qui sont :
- des codes HTTP 404 ou d’autres codes autres que HTTP 200
- des bannières de version sur des services publics
- du détournement de clic sur des pages sans connexion
- de la falsification de requête intersite (CSRF) sur des formulaires accessibles anonymement
- l’absence d’attributs « secure » / « HTTP Only » sur des cookies non sensibles
- des notifications liées au certificat SSL (par exemple, chiffrement faible)
- l’utilisation de la méthode HTTP OPTIONS
- l’injection d’en-tête Host
- l’absence d’enregistrements SPF, DKIM et DMARC
- l’absence de DNSSEC
- l’absence d’en-têtes de sécurité HTTP
- le signalement de versions obsolètes de logiciels sans preuve de concept ni exploit fonctionnel
- des failles de logique métier, y compris l’abus de flux produit prévus, de la logique de tarification ou de facturation, de modèles d’autorisation par conception, ou des problèmes nécessitant un comportement utilisateur irréaliste, sauf s’ils démontrent une vulnérabilité de sécurité claire ayant un impact direct
- les bonnes pratiques

Conclusion

Vos contributions sont précieuses pour la sécurité et l’intégrité de nos services. WebinarGeek s’engage à collaborer ouvertement avec la communauté de la sécurité afin d’atténuer et de résoudre les vulnérabilités de manière responsable. Nous attendons vos soumissions avec intérêt et vous remercions de vos efforts pour nous aider à assurer la sécurité de nos systèmes.

Pour toute autre question ou soumission, contacte security@webinargeek.com.

Clé PGP publique