Politique de sécurité

Introduction

La sécurité de nos clients, de nos données et de notre infrastructure est primordiale pour Answeb. Nous nous engageons à identifier et à résoudre les failles de sécurité, et nous encourageons les chercheurs en sécurité à nous signaler toute vulnérabilité découverte dans nos systèmes.

Les tests d'intrusion sont encouragés auprès de notre clientèle et nous voyons cela positivement.

Néanmoins, veillez à faire cela dans les règles de l'art. Vos adresses IP d'attaque doivent nous être déclarées afin que nous puissions vous éviter de subir notre IDS et vous permettre de passer votre pentest fluidement.

Les vulnérabilités que notre WAF bloque sont jugées hors périmètre de responsabilités.

Portée

Cette politique s'applique à tous les sites web, services, applications, et produits gérés par Answeb.

Directives pour le Signalement

• Signaler les vulnérabilités rapidement : Si vous découvrez une vulnérabilité potentielle, nous vous encourageons à nous la signaler dès que possible en utilisant les informations de contact indiquées ci-dessous.
• Éviter toute altération des données : Limitez vos actions à la découverte de la vulnérabilité sans accéder, modifier, ou détruire des données. Toute interaction doit rester dans le cadre de la vérification et de la démonstration de la faille de sécurité.
• Ne pas perturber les services : Veuillez ne pas réaliser d'actions pouvant altérer la disponibilité ou la performance des services (par exemple, des tests de charge).
• Respecter la confidentialité : Ne divulguez pas publiquement les détails de la vulnérabilité sans notre autorisation écrite. Une période de divulgation coordonnée sera définie conjointement.
• Utiliser notre formulaire de contact

Types de vulnérabilités recherchées

Nous encourageons le signalement des types de vulnérabilités suivants :

• Injection SQL/PHP ou autre injection de code à dangerosité avérée et outrepassant notre WAF
• Cross-Site Scripting (XSS) de Type 0 et 2
• Authentification et autorisation incorrectes (incluant IDOR)
• Fuites de données sensibles

D'autres types de vulnérabilités peuvent être pris en compte à notre discrétion.

Hors de la portée

Les éléments suivants sont généralement hors du champ d'application de cette politique :

• Attaques de déni de service (DDoS)
• Spams et phishing
• Problèmes liés aux navigateurs ou aux plugins tiers

Processus de Remédiation

• Accusé de réception : Nous vous enverrons un accusé de réception sous 48 heures ouvrées après réception de votre rapport.
• Évaluation et correction : Notre équipe analysera le rapport, évaluera la vulnérabilité, et travaillera à une solution dans les plus brefs délais si c'est dans notre périmètre de responsabilité et d'intervention.
• Communication des résultats : Une fois le problème résolu, nous vous enverrons un retour sur la correction et le processus de remédiation.

Reconnaissance

Sous réserve de l'impact de la vulnérabilité et du respect de cette politique, nous pouvons offrir des remerciements publics sur notre site de sécurité, ou d'autres formes de reconnaissance.

Clause de Non-Responsabilité

Nous nous réservons le droit de modifier cette politique à tout moment. En signalant une vulnérabilité, vous acceptez de respecter cette politique.