Recherche de bonne foi ne rencontre jamais d’avocats.

La recherche en sécurité rend le produit plus sûr, et nous souhaitons recevoir le rapport avant qu’il n’atteigne un attaquant. Si vous suivez cette politique, nous : accuserons rapidement réception de votre rapport, collaborerons avec vous pour comprendre et valider la vulnérabilité, vous tiendrons informé pendant que nous la corrigeons, vous créditerons si vous le souhaitez, et n’engagerons ni ne soutiendrons d’actions légales contre vous pour cette recherche. Ce dernier engagement est l’objet principal de ce document, et la clause 07 l’énonce explicitement.

Envoyez un courriel à security@transglot.ai. Indiquez ce que vous avez trouvé, où vous l’avez trouvé, les étapes pour reproduire le problème, ce qu’un attaquant pourrait en faire, ainsi que tout élément pouvant nous aider à le confirmer : une requête et sa réponse, une courte vidéo, une preuve de concept. Précisez si vous souhaitez être crédité et sous quel nom. Rédigez votre message en anglais si possible. Si vous souhaitez chiffrer le rapport, demandez-le dans un premier message et nous échangerons une clé. Nous publions également un fichier security.txt contenant la même adresse, afin qu’un analyseur automatique pointe vers une boîte de lecture consultée par une personne.

Nous accusons réception d’un rapport sous trois jours ouvrables. Nous fournissons une évaluation initiale, indiquant notamment si nous pouvons le reproduire et comment nous l’avons classé, sous dix jours ouvrables. Nous vous informons lorsqu’une correction est déployée et, normalement, une correction pour un problème élevé ou critique sera déployée dans les quatre-vingt-dix jours suivant sa validation, plus rapidement si le risque est actif. Si une correction prend plus de temps, nous vous en expliquons la raison plutôt que de garder le silence. Nous vous informerons avant de publier quoi que ce soit au sujet du problème, et nous ne publierons pas votre nom sans votre accord.

Veuillez nous accorder quatre-vingt-dix jours à compter de votre premier rapport avant de publier des détails, et davantage par accord mutuel si la correction est véritablement complexe ou si elle nécessite une action de la part du client. Nous n’utiliserons pas cette période pour enterrer le problème : nous vous tiendrons informé, et si nous ne pouvons pas le corriger, nous vous le dirons également, et nous ne nous opposerons pas à la publication une fois la période écoulée. Si un problème est activement exploité, informez-nous immédiatement et nous agirons à cette vitesse. Nous sommes heureux de coordonner un avis conjoint et de demander un CVE lorsque cela est approprié.

L’application web de production et le site marketing sur nos propres domaines, l’API REST publique, le point de terminaison de livraison, l’éditeur contextuel et ses surfaces d’intégration, nos packages clients publiés, la livraison et la signature de nos webhooks, nos flux d’authentification et d’authentification unique (SSO), ainsi que notre infrastructure publique telle qu’elle est accessible depuis Internet. Les rapports concernant une décision de conception que nous avons documentée comme un compromis délibéré, comme le pool partagé de mémoire de traduction à correspondance exacte ou l’absence de chiffrement au niveau du disque sur les volumes actifs, sont bienvenus en tant qu’arguments mais ne constituent pas des vulnérabilités : ils sont indiqués sur la page de sécurité précisément afin qu’un chercheur ne passe pas un après-midi à prouver quelque chose que nous publions déjà.

Anything not operated by us, including a customer’s own website, a third party integration and any system reached through a connector. Denial of service, volumetric or resource exhaustion testing, and anything that degrades the service for other users. Social engineering, phishing, or physical attempts against our staff, our offices or our suppliers. Spam, and reports generated by an automated scanner with no analysis attached. Findings that are only a missing best-practice header, a cookie flag with no demonstrated impact, an outdated library with no exploitable path, a rate limit you found by exceeding it, a self-inflicted cross-site scripting, a clickjacking report on a page with no sensitive action, or the absence of a broad content security policy, which we already document as a gap. Vulnerabilities requiring physical access to a victim’s unlocked device, or requiring a root-level compromise of the victim’s own machine.

Si vous faites un effort de bonne foi pour respecter cette politique durant vos recherches, nous considérerons vos recherches comme autorisées, nous collaborerons avec vous pour comprendre et résoudre le problème rapidement, et nous ne recommanderons ni n’engagerons d’actions légales contre vous, y compris en vertu des lois sur l’utilisation abusive des ordinateurs, la lutte contre le piratage, la lutte contre le contournement ou le droit des contrats, y compris toute revendication au titre de la Politique d’utilisation acceptable ou des Conditions d’utilisation que vos tests violeraient autrement. Si un tiers engage une action contre vous pour des recherches menées dans le cadre de cette politique, nous ferons savoir que vos activités étaient autorisées. Ce dispositif de protection est limité à nous : il ne peut pas et n’autorise pas à agir contre un tiers, un autre client ou les systèmes de toute autre personne.

Utilisez uniquement des identifiants et des comptes qui vous appartiennent ou pour lesquels vous avez une autorisation explicite de test, et créez votre propre espace de travail gratuit plutôt que de sonder celui d’autrui. N’accédez pas, ne modifiez pas, ne copiez pas, n’exfiltrez pas et ne détruisez pas des données qui ne vous appartiennent pas; si vous tombez par hasard sur des données clients, arrêtez-vous, ne les enregistrez pas et signalez-nous immédiatement ce que vous avez vu afin que nous puissions évaluer l’exposition. Ne dégradez pas la disponibilité et n’effectuez pas de tests de charge, de stress ou de déni de service. N’utilisez pas une vulnérabilité pour obtenir plus d’accès que nécessaire pour la démontrer et ne maintenez pas de persistance. Ne faites pas de chantage et ne conditionnez pas la divulgation à un paiement. Ne publiez pas avant que la clause 04 ne le permette. Respectez les lois applicables ainsi que toute restriction en matière de contrôle des exportations ou de sanctions qui s’applique à vous.

Il n’y a pas de programme de prime aux bogues rémunéré aujourd’hui. Ce que nous offrons, c’est une réponse rapide et humaine, une mention dans un accusé de réception public si vous le souhaitez, une lettre de recommandation écrite pour les découvertes sérieuses et le refuge sûr décrit ci-dessus. Si nous lançons un programme rémunéré, nous publierons ici le périmètre et les fourchettes de récompenses avant d’accepter la première soumission.

Nous ne vous demanderons pas de signer un accord de confidentialité comme condition à la réception de votre rapport, et nous n’utiliserons pas un formulaire de soumission de rapport comme moyen de vous imposer le silence. Nous ne vous menacerons pas pour un rapport qui s’avère de faible gravité ou en double. Nous ne vous signalerons pas à votre employeur, à votre université ou à une plateforme. Si nous ne sommes pas d’accord avec votre évaluation de la gravité, nous expliquerons pourquoi plutôt que de clore le fil de discussion.

Un client qui découvre une vulnérabilité lors de l’utilisation du produit est couvert par cette politique et par son dispositif de protection (« safe harbour »), et le signalement d’une telle vulnérabilité ne constitue jamais une violation de la Politique d’utilisation acceptable. Signalez-la à l’adresse de sécurité plutôt que par le support ordinaire, afin qu’elle parvienne aux bonnes personnes sans rester en attente. Évitez, dans la mesure du possible, de tester avec des données de production appartenant à vos propres utilisateurs finaux.

La page de sécurité énumère les éléments que nous n’avons pas mis en place intentionnellement, afin qu’un examinateur ou un chercheur les apprenne directement de nous plutôt que lors d’une diligence raisonnable : les volumes actifs ne sont pas chiffrés au niveau du disque, le journal d’audit est en append-only au niveau de la couche application et ne comporte ni chaîne de hachage ni signature, il n’y a pas de politique de sécurité du contenu étendue, et nous ne détenons actuellement aucune certification de sécurité tierce. Publier nos propres lacunes est la forme d’honnêteté la plus économique dans notre secteur et cela fait gagner une semaine à tout le monde.

Les rapports de sécurité et les questions concernant cette politique doivent être envoyés à security@transglot.ai. Tout ce qui ne relève pas de la sécurité, y compris les abus et les questions de droit d’auteur, doit être envoyé à hello@transglot.ai. Les questions relatives à la vie privée et à la protection des données doivent être envoyées à privacy@transglot.ai.