Politique de divulgation responsable

Chez WebinarGeek, nous reconnaissons le rôle essentiel de la sécurité pour fournir des services de qualité à nos utilisateurs du monde entier. Malgré nos efforts constants pour protéger nos systèmes, détaillés ici, des vulnérabilités peuvent apparaître. Nous collaborons avec la communauté de la recherche en sécurité pour identifier et résoudre les problèmes rapidement et efficacement. Nous encourageons les chercheurs et les hackers éthiques à collaborer avec nous de manière responsable afin d’améliorer notre environnement numérique.

Consignes de signalement des vulnérabilités

Nous invitons les chercheurs et passionnés de sécurité à signaler les vulnérabilités potentielles identifiées dans nos systèmes, sous réserve de comprendre et d’accepter les consignes suivantes :

Contact : Envoie tes conclusions à security@webinargeek.com. Fournis des informations détaillées, y compris les étapes permettant de reproduire la vulnérabilité, afin que notre équipe de sécurité puisse valider et traiter le problème rapidement. Le chiffrement habituel des e-mails est suffisant pour garantir la confidentialité nécessaire au signalement d’une vulnérabilité. Toutefois, si ton rapport nécessite un chiffrement PGP, tu trouveras notre clé publique au bas de cette page.
Accusé de réception : Nous nous engageons à accuser réception de ton rapport dans les deux jours ouvrés.
Enquête et résolution : Notre équipe dédiée examinera les vulnérabilités signalées et s’efforcera de les résoudre dans la semaine suivant l’accusé de réception. La complexité et la gravité du problème peuvent influer sur le délai de résolution.
Confidentialité : Nous te demandons de préserver la confidentialité de toute vulnérabilité découverte jusqu’à sa résolution. Nous coordonnerons avec toi la divulgation publique des résultats.
Récompenses et remerciements : Bien que tous les rapports ne donnent pas droit à une récompense, nous évaluons les soumissions au cas par cas afin de déterminer si elles méritent des remerciements ou une récompense. La nature de la récompense dépendra de la gravité et de l’impact de la vulnérabilité découverte.
Protection juridique : Nous nous engageons à ne pas engager de poursuites contre les personnes qui signalent des vulnérabilités conformément à ces consignes, à condition qu’elles n’aient pas participé à des activités illégales ni fait un usage abusif de la vulnérabilité découverte.

Ce que nous n’acceptons pas

Les tentatives d’accès, de téléchargement ou de modification des données appartenant à autrui.
Les attaques par déni de service (DoS).
Le spam.
L’ingénierie sociale ou les attaques physiques contre nos biens ou nos données.

Programme de récompenses

Les récompenses sont déterminées en fonction du niveau de risque de la vulnérabilité de sécurité signalée et sont laissées à la discrétion de WebinarGeek.
En cas de rapports en double, la récompense sera attribuée à la première personne ayant signalé le problème.
Les récompenses sont susceptibles de changer et peuvent varier selon le caractère unique et la gravité de la vulnérabilité.
Les récompenses ne peuvent être versées via PayPal qu’en dehors de l’Europe. En Europe (IBAN), nous acceptons également les virements bancaires.

Hors périmètre

Les rapports concernant des problèmes non liés à la sécurité ou les demandes de renseignements.
Les services et logiciels tiers qui ne sont pas directement gérés par WebinarGeek.
Les vulnérabilités connues publiquement qui ont déjà été corrigées.
Les vulnérabilités suivantes :
- Les codes HTTP 404 ou autres codes différents de HTTP 200
- Les bannières de version sur les services publics
- Le détournement de clics sur les pages sans connexion
- La falsification de requêtes intersites (CSRF) sur les formulaires accessibles anonymement
- L’absence des indicateurs « secure » / « HTTP Only » sur les cookies non sensibles
- Les notifications liées au certificat SSL (par exemple, un chiffrement faible)
- L’utilisation de la méthode HTTP OPTIONS
- L’injection d’en-tête Host
- L’absence d’enregistrements SPF, DKIM et DMARC
- L’absence de DNSSEC
- L’absence d’en-têtes de sécurité HTTP
- Le signalement de versions obsolètes de logiciels sans preuve de concept ni exploit fonctionnel
- Les failles de logique métier, y compris l’utilisation abusive des parcours prévus du produit, de la logique des Tarifs ou de la facturation, des modèles d’autorisation par conception, ou les problèmes qui nécessitent un comportement utilisateur irréaliste, sauf s’ils démontrent une vulnérabilité de sécurité claire ayant un impact direct
- Les bonnes pratiques

Déclaration finale

Tes contributions sont essentielles à la sécurité et à l’intégrité de nos services. WebinarGeek s’engage à collaborer ouvertement avec la communauté de la sécurité afin d’atténuer et de résoudre les vulnérabilités de manière responsable. Nous attendons tes soumissions avec intérêt et te remercions de tes efforts pour nous aider à préserver la sécurité de nos systèmes.

Pour toute question ou soumission supplémentaire, contacte security@webinargeek.com.

Clé PGP publique

Articles connexes