1. Comment signaler
Écrivez à security@audact.ai. Si vous préférez chiffrer votre message, demandez-nous notre clé publique PGP dans votre premier message et nous vous l’enverrons. Le contact sécurité lui-même est publié à l’adresse /.well-known/security.txt, selon la RFC 9116.
- Une preuve de concept reproductible, ou des étapes de reproduction claires.
- La version, l’endpoint ou l’URL concernés.
- L’impact que vous estimez, et, dans les grandes lignes, comment vous y êtes parvenu.
- Vos coordonnées, et si vous souhaitez que votre nom soit cité au cas où nous publierions des remerciements.
2. Ce qui se passe après votre signalement
Voici les délais que nous nous imposons. Si nous devons en manquer un, c’est de nous que vous l’apprendrez, et non en attendant sans nouvelles.
- Sous 48 heures. Nous accusons réception du signalement et vous disons qui s’en occupe.
- Sous 5 jours ouvrés. Nous revenons vers vous avec une première évaluation : si nous parvenons à le reproduire, et comment nous en évaluons la gravité.
- Pendant la correction. Nous vous tenons au courant à un rythme convenu avec vous, plutôt que de nous taire.
- Objectif de 90 jours, négociable. Le délai que nous demandons avant toute divulgation publique. Si une correction prend plus de temps, nous dirons pourquoi plutôt que de laisser le délai s’écouler en silence.
3. Safe harbour
Audact n’engagera aucune action en justice contre les chercheurs qui agissent de bonne foi, évitent les atteintes à la vie privée, n’exfiltrent pas de données clients et nous laissent un délai raisonnable pour corriger avant toute divulgation publique.
Agir de bonne foi signifie : s’arrêter dès que vous avez confirmé un problème plutôt que d’aller plus loin, ne pas dégrader le service pour les autres, et ne pas accéder à des données qui ne sont pas les vôtres, ni les modifier ou les conserver. Si vous ne savez pas si quelque chose entre dans le périmètre, demandez d’abord. Nous préférons répondre à une question que de débattre ensuite d’une limite.
4. Remerciements
Il n’y a pas de programme de bug bounty monétaire aujourd’hui. Un signalement recevable donne lieu à un remerciement nominatif, avec votre accord et sous la forme que vous préférez, et nous confirmons la découverte par écrit si vous avez besoin d’un justificatif pour un portfolio ou une demande de CVE.
Si cela change, ce sera annoncé sur cette page, avec la date d’entrée en vigueur.
5. Contact
security@audact.ai pour tout ce qui concerne cette page. Pour les questions sur l’architecture de sécurité, la matrice des sous-traitants ultérieurs ou l’accord de traitement des données, vous trouverez les réponses sur la page Sécurité ; pour les achats, sur le Centre de confiance.