Divulgation responsable

Notre engagement en matière de sécurité

Chez Enydea, nous prenons la sécurité de notre plateforme au sérieux. Nous apprécions les efforts de la communauté des chercheurs en sécurité qui nous aident à préserver la sécurité et la vie privée de nos utilisateurs.

Champ d'application

Cette politique de divulgation responsable s'applique à :

• Toutes les applications web d'Enydea (*.enydea.com)
• API et services backend Enydea
• Applications mobiles (le cas échéant)
• Infrastructure prenant en charge les services Enydea

Comment signaler une vulnérabilité

Si vous découvrez une faille de sécurité, veuillez nous la signaler en privé :

• E-mail :[email protected]
• Objet : « Signalement de vulnérabilité de sécurité »
• Clé PGP : disponible sur demande pour les communications chiffrées

Informations à inclure

Veuillez fournir les informations suivantes dans votre rapport :

• Description de la vulnérabilité
• Étapes pour reproduire le problème
• Impact potentiel de la vulnérabilité
• Tout code de preuve de concept ou toute capture d'écran
• Vos coordonnées pour le suivi

Notre processus de réponse

1. Accusé de réception : nous accuserons réception dans un délai de 2 jours ouvrables
2. Évaluation : notre équipe de sécurité examinera et évaluera le problème
3. Communication : nous vous tiendrons informé de l'avancement
4. Résolution : nous nous efforcerons de corriger rapidement la vulnérabilité
5. Reconnaissance : avec votre autorisation, nous mentionnerons votre contribution

Lignes directrices

Pour bénéficier de la divulgation responsable, veuillez :

• Ne pas accéder aux données des utilisateurs ni les modifier sans autorisation
• Ne pas effectuer d'actions susceptibles de nuire à Enydea ou à ses utilisateurs
• Ne pas divulguer publiquement la vulnérabilité tant que nous ne l'avons pas corrigée
• Faire un effort de bonne foi pour éviter les atteintes à la vie privée et les interruptions de service
• Nous accorder un délai raisonnable pour résoudre le problème avant toute divulgation (généralement 90 jours)

Hors champ d'application

Les éléments suivants ne relèvent pas de la divulgation responsable :

• Attaques par déni de service (DoS)
• Attaques d'ingénierie sociale contre des employés d'Enydea
• Problèmes de sécurité physique
• Services tiers que nous utilisons mais ne contrôlons pas
• Problèmes liés à des navigateurs ou plateformes obsolètes
• Self-XSS ou problèmes nécessitant une interaction importante de l'utilisateur

Reconnaissance

Nous apprécions les chercheurs en sécurité qui nous aident à protéger nos utilisateurs. En fonction de la gravité et de l'impact de la vulnérabilité, nous pouvons vous proposer :

• Mention publique dans notre « hall of fame » de la sécurité (avec votre autorisation)
• Une lettre de remerciement
• Goodies ou produits dérivés
• Pour les vulnérabilités importantes : récompenses financières (évaluées au cas par cas)

Protection juridique (safe harbor)

Nous n'engagerons pas de poursuites judiciaires à l'encontre des chercheurs qui :

• Respectent la présente politique de divulgation responsable
• Agissent de bonne foi
• N'enfreignent aucune loi applicable
• N'accèdent pas aux données des utilisateurs et ne les modifient pas sans autorisation

Contact

Pour les questions relatives à la sécurité :

• E-mail : [email protected]
• Société : XBMS B.V.
• Adresse : Oldenzaalsestraat 1202, 7524 RJ Enschede, Pays-Bas
• Numéro KvK : 82379033

Merci de nous aider à assurer la sécurité d'Enydea !