Recherche de bonne foi n’est jamais accueillie par des avocats.

La recherche en matière de sécurité rend le produit plus sûr, et nous souhaitons recevoir le rapport avant qu’il n’atteigne un attaquant. Si vous suivez cette politique, nous : accuserons rapidement réception de votre rapport, travaillerons avec vous pour le comprendre et le valider, vous tiendrons informé pendant que nous le corrigeons, vous créditerons si vous le souhaitez, et n’engagerons ni ne soutiendrons d’actions légales contre vous pour cette recherche. Ce dernier engagement est l’objet principal de ce document, et la clause 07 l’énonce explicitement.

Envoyez un e-mail à security@transglot.ai. Incluez ce que vous avez trouvé, où vous l’avez trouvé, les étapes pour le reproduire, ce qu’un attaquant pourrait en faire, et tout élément pouvant nous aider à le confirmer : une requête et sa réponse, une courte vidéo, une preuve de concept. Indiquez-nous si vous souhaitez être crédité et sous quel nom. Rédigez votre message en anglais si possible. Si vous souhaitez chiffrer le rapport, demandez-le dans un premier message et nous échangerons une clé. Nous publions également un fichier security.txt avec la même adresse, afin qu’un scanner automatique pointe vers une boîte mail lue par une personne.

Nous accusons réception d’un rapport sous trois jours ouvrables. Nous fournissons une évaluation initiale, indiquant notamment si nous pouvons le reproduire et comment nous l’avons classé, sous dix jours ouvrables. Nous vous informons lorsqu’une correction est déployée et nous aurons normalement déployé une correction pour un problème de haute ou critique gravité dans les quatre-vingt-dix jours suivant sa validation, plus rapidement si le risque est actif. Si une correction prend plus de temps, nous vous expliquerons pourquoi plutôt que de garder le silence. Nous vous informerons avant de publier quoi que ce soit concernant le problème, et nous ne publierons pas votre nom sans votre accord.

Veuillez nous accorder quatre-vingt-dix jours à compter de votre premier rapport avant de publier des détails, et plus longtemps par accord si la correction est véritablement complexe ou si elle nécessite une action de la part du client. Nous n’utiliserons pas cette période pour enterrer le problème : nous vous tiendrons informé, et si nous ne pouvons pas le corriger, nous vous le dirons également, et nous ne nous opposerons pas à la publication une fois la période écoulée. Si un problème est activement exploité, informez-nous immédiatement et nous agirons à cette vitesse. Nous sommes heureux de coordonner un avis conjoint et de demander un CVE lorsque cela est approprié.

L’application web de production et le site marketing sur nos propres domaines, l’API REST publique, le point de terminaison de livraison, l’éditeur contextuel et ses surfaces d’intégration, nos packages clients publiés, la livraison et la signature de nos webhooks, nos flux d’authentification et d’authentification unique, ainsi que notre infrastructure publique telle qu’elle est accessible depuis Internet. Les rapports concernant une décision de conception que nous avons documentée comme un compromis délibéré, tels que le pool partagé de mémoire de traduction par correspondance exacte ou l’absence de chiffrement au niveau du disque sur les volumes actifs, sont bienvenus en tant qu’arguments mais ne constituent pas des vulnérabilités : ils sont indiqués sur la page de sécurité précisément afin qu’un chercheur ne passe pas un après-midi à prouver quelque chose que nous publions déjà.

Tout ce qui n’est pas opéré par nous, y compris le site web d’un client, une intégration tierce et tout système atteint via un connecteur. Le déni de service, les tests volumétriques ou d’épuisement des ressources, et tout ce qui dégrade le service pour d’autres utilisateurs. L’ingénierie sociale, le phishing ou les tentatives physiques contre notre personnel, nos bureaux ou nos fournisseurs. Le spam et les rapports générés par un scanner automatisé sans analyse jointe. Les constatations qui ne consistent qu’en un en-tête de bonne pratique manquant, un indicateur de cookie sans impact démontré, une bibliothèque obsolète sans voie d’exploitation, une limite de taux que vous avez trouvée en la dépassant, un cross-site scripting auto-infligé, un rapport de clickjacking sur une page sans action sensible, ou l’absence d’une politique de sécurité du contenu large, que nous documentons déjà comme une lacune. Les vulnérabilités nécessitant un accès physique à l’appareil déverrouillé d’une victime, ou nécessitant une compromission au niveau root de la machine de la victime.

Si vous faites un effort de bonne foi pour respecter cette politique lors de vos recherches, nous considérerons vos recherches comme autorisées, nous travaillerons avec vous pour comprendre et résoudre le problème rapidement, et nous ne recommanderons ni n’engagerons d’actions légales contre vous, y compris en vertu des lois sur l’usage abusif des ordinateurs, le piratage, le contournement ou le droit des contrats, et y compris toute réclamation en vertu de la Politique d’utilisation acceptable ou des Conditions d’utilisation que vos tests violeraient autrement. Si un tiers engage une action contre vous pour des recherches menées dans le cadre de cette politique, nous ferons savoir que vos activités étaient autorisées. Cette clause de sauvegarde est limitée à nous : elle ne peut pas et n’autorise pas à agir contre un tiers, un autre client ou les systèmes de quiconque.

Utilisez uniquement des identifiants et des Comptes qui vous appartiennent ou pour lesquels vous disposez d’une autorisation explicite de test, et créez votre propre espace de travail gratuit plutôt que de sonder celui d’autrui. N’accédez pas, ne modifiez pas, ne copiez pas, n’exfiltrez pas et ne détruisez pas des données qui ne vous appartiennent pas ; si vous tombez accidentellement sur des données clientes, arrêtez-vous, ne les enregistrez pas et signalez-nous immédiatement ce que vous avez vu afin que nous puissions évaluer l’exposition. Ne dégradez pas la disponibilité et n’effectuez pas de tests de charge, de stress ou de déni de service. N’utilisez pas une vulnérabilité pour obtenir plus d’accès que nécessaire pour la démontrer et ne maintenez pas de persistance. Ne pratiquez pas l’extorsion et ne conditionnez pas la divulgation à un paiement. Ne publiez rien avant que l’article 04 ne l’autorise. Respectez la législation applicable ainsi que toute restriction en matière de contrôle des exportations ou de sanctions qui vous concerne.

Il n’y a pas de programme de bug bounty rémunéré pour le moment. Ce que nous offrons, c’est une réponse rapide et humaine, une mention dans une reconnaissance publique si vous le souhaitez, une référence écrite pour les découvertes sérieuses, et la clause de sauvegarde ci-dessus. Si nous lançons un programme rémunéré, nous publierons ici le périmètre et les plages de primes avant d’accepter la première soumission.

Nous ne vous demanderons pas de signer un accord de non-divulgation comme condition à la réception de votre rapport, et nous n’utiliserons pas un formulaire de soumission de rapport pour vous imposer le silence. Nous ne vous menacerons pas si votre rapport s’avère être de faible gravité ou un doublon. Nous ne signalerons pas votre démarche à votre employeur, à votre université ou à une plateforme. Si nous sommes en désaccord avec votre évaluation de la gravité, nous expliquerons pourquoi plutôt que de clore la discussion.

Un client qui découvre une vulnérabilité lors de l’utilisation du produit est couvert par cette politique et par son clause de sauvegarde, et le signalement d’une telle vulnérabilité ne constitue jamais une violation de la Politique d’utilisation acceptable. Signalez-la à l’adresse de sécurité plutôt que via le support ordinaire, afin qu’elle atteigne les bonnes personnes sans rester en file d’attente. Évitez de tester avec des données de production appartenant à vos propres utilisateurs finaux si possible.

La page de sécurité énumère les éléments que nous n’avons pas construits, volontairement, afin qu’un auditeur ou un chercheur les apprenne directement de nous plutôt que lors d’une diligence raisonnable : les volumes actifs ne sont pas chiffrés au niveau du disque, le journal d’audit est en append-only au niveau de l’application et ne comporte ni chaîne de hachage ni signature, il n’y a pas de politique de sécurité du contenu large, et nous ne détenons aucune certification de sécurité tierce à ce jour. Publier nos propres lacunes est la forme d’honnêteté la plus économique dans notre secteur et cela fait gagner une semaine à tout le monde.

Les rapports de sécurité et les questions concernant cette politique doivent être envoyés à security@transglot.ai. Tout ce qui ne relève pas d’un problème de sécurité, y compris les abus et les droits d’auteur, doit être envoyé à hello@transglot.ai. Les questions relatives à la confidentialité et à la protection des données doivent être envoyées à privacy@transglot.ai.