Vous avez trouvé une faille ? Prévenez-nous d’abord.
Tester la sécurité des systèmes des autres est notre métier : nous prenons donc au sérieux les signalements qui concernent les nôtres. Si vous pensez avoir trouvé une vulnérabilité sur un site ou un service de Codatale, voici comment nous la signaler et ce que vous pouvez attendre de nous.
Comment signaler
Écrivez à contact@codatale.com avec « Sécurité » dans l’objet. Merci d’indiquer :
- L’adresse, la page ou le service concerné
- Les étapes pour reproduire le problème
- Ce qu’un attaquant pourrait en faire
- Des éléments de preuve : captures d’écran, requêtes ou courte preuve de concept
- Votre nom ou pseudonyme, si vous souhaitez être remercié publiquement
Nos engagements
- Nous visons un accusé de réception sous 3 jours ouvrés.
- Nous visons une première évaluation sous 10 jours ouvrés.
- Nous vous tenons informé jusqu’à la résolution.
- Avec votre accord, nous vous remercions publiquement une fois la faille corrigée.
- Nous ne partageons pas vos coordonnées sans votre accord.
Périmètre concerné
- codatale.com et ses sous-domaines
- Les services et produits que Codatale exploite sous son propre nom
Hors périmètre
- Les sites et systèmes que nous avons développés mais que nos clients possèdent et exploitent. Signalez-les au client, ou à nous : nous transmettrons avec votre accord.
- Les services tiers que nous utilisons : hébergement, messagerie, réseaux sociaux
- Le déni de service, le spam, l’ingénierie sociale et les attaques physiques
- Les résultats de scanners automatiques sans impact démontré
- L’absence d’en-têtes ou de réglages e-mail recommandés sans moyen concret de l’exploiter
Règles d’une recherche de bonne foi
- Ne testez qu’avec vos propres comptes et données.
- Arrêtez-vous dès que le problème est confirmé. N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas.
- Pas de tests de déni de service ni d’analyses automatiques massives.
- Pas d’ingénierie sociale, ni de ciblage de notre équipe, de nos clients ou de nos locaux.
- Laissez-nous un délai raisonnable pour corriger avant toute publication. Nous demandons 90 jours et fixons volontiers une date ensemble.
Protection des chercheurs
Si vous respectez cette politique de bonne foi, nous considérons votre recherche comme autorisée : nous n’engagerons pas de poursuites contre vous et ne demanderons pas aux autorités d’enquêter sur vous. Si un tiers agit contre vous pour une recherche menée dans ce cadre, nous ferons savoir que vous avez respecté cette politique.
Récompenses
Nous n’avons pas de programme de bug bounty rémunéré. Nous sommes reconnaissants pour chaque signalement valable et, avec votre accord, nous vous remercions publiquement.
Dernière mise à jour: