Signaler une faille de sécurité
Si vous avez trouvé quelque chose, nous voulons le savoir avant les autres. Cette page dit ce qui est dans le périmètre, comment nous écrire, sous quel délai nous répondons, et ce que nous nous engageons à ne pas faire contre vous.
Notre engagement
Nous traitons tout signalement de faille sérieusement et nous répondons à chacun, y compris à ceux qui se révèlent sans objet. Nous ne poursuivrons pas, et ne demanderons à personne de poursuivre, un chercheur qui respecte les règles de cette page. Cet engagement vaut pour la recherche menée de bonne foi, même si elle a déclenché une alerte de notre côté ou provoqué une interruption involontaire.
Nous n'exigeons pas d'accord de confidentialité pour recevoir un signalement, et nous ne demandons pas le silence indéfini en échange d'un correctif.
Le périmètre
Inclus
La plateforme lazao.ai, son interface de programmation et ses points de réception de notifications de paiement, ainsi que le site sainillar.com. Les failles d'authentification, d'autorisation entre comptes, d'injection, d'exposition de données, et les défauts de vérification de signature sur les flux de paiement nous intéressent en priorité.
Exclu
Les systèmes de nos prestataires, qui ont leurs propres programmes : signalez-leur directement. Les rapports issus d'un simple scanner sans démonstration d'impact. Les questions de configuration d'en-têtes ou de politique de messagerie sans exploitation associée. Le contenu produit par un modèle, y compris un contournement de ses garde-fous, qui relève de la politique d'usage et non de la sécurité.
Comment nous écrire
Écrivez à l'adresse de sécurité indiquée sur la page Contact. Un rapport utile tient en quelques lignes et contient quatre choses : où, comment le reproduire pas à pas, ce que ça permet d'obtenir concrètement, et depuis quand vous le savez.
Vous pouvez écrire en français ou en anglais. Vous pouvez rester anonyme ; cela n'a aucune incidence sur le traitement, mais nous ne pourrons alors ni vous répondre ni vous créditer.
N'envoyez jamais de données réelles d'utilisateurs dans un rapport. Une capture floutée ou un identifiant tronqué suffit à démontrer l'accès.
Nos délais
Ces délais courent en jours ouvrés à compter de la réception. Ils nous engagent.
| Étape | Délai | Ce que vous recevez |
|---|---|---|
| Accusé de réception | 3 jours | Une confirmation écrite d'une personne, pas un message automatique. |
| Qualification | 10 jours | Notre analyse : reproduit ou non, gravité retenue, et pourquoi. |
| Correctif, gravité critique | 7 jours | Correction déployée, et la confirmation que vous pouvez le vérifier. |
| Correctif, gravité élevée | 30 jours | Correction déployée, ou un calendrier motivé si ce n'est pas tenable. |
| Correctif, autres | 90 jours | Correction déployée ou décision motivée de ne pas corriger. |
Ce que nous vous demandons en retour
Ne pas exfiltrer
Accédez au strict minimum nécessaire pour démontrer la faille, puis arrêtez. Ne téléchargez pas de données d'utilisateurs, ne les conservez pas, et supprimez tout ce que vous auriez récupéré une fois le rapport envoyé.
Ne pas dégrader
Pas de déni de service, pas de test de charge, pas d'altération ni de suppression de données qui ne sont pas les vôtres. Créez vos propres comptes de test plutôt que d'utiliser ceux d'autrui.
Ne pas viser les personnes
Pas d'ingénierie sociale, de hameçonnage ni d'intrusion physique visant nos utilisateurs, les personnes qui travaillent avec nous ou nos prestataires. Le périmètre, ce sont les systèmes.
Attendre avant de publier
Laissez-nous quatre-vingt-dix jours avant toute publication, ou le délai de correction annoncé s'il est plus court. Si nous dépassons nos propres délais sans explication, vous êtes libre de publier : l'engagement est réciproque.
Récompenses et remerciements
Nous n'avons pas de programme de récompense monétaire à ce jour, et nous préférons le dire plutôt que de laisser espérer. Si nous en ouvrons un, il sera annoncé sur cette page et dans les actualités.
Ce que nous faisons en attendant : nous créditons publiquement, avec votre accord et sous le nom que vous choisissez, toute personne dont le signalement a donné lieu à un correctif. Le crédit paraît dans la note d'incident correspondante sur la page État du service.
Et nous vous disons ce que le correctif a changé. Un chercheur qui signale une faille et ne reçoit jamais la suite n'a aucune raison de recommencer.