Politique de divulgation des vulnérabilités de Peerdom (VDP) - Sécurité

Peerdom AG accueille favorablement les retours des chercheuses et chercheurs en sécurité ainsi que du grand public pour nous aider à améliorer notre sécurité. Si vous pensez avoir découvert une vulnérabilité, un problème de confidentialité, des données exposées ou tout autre problème de sécurité dans l’un de nos actifs, nous voulons en être informés. La présente politique décrit la marche à suivre pour nous signaler des vulnérabilités, ce que nous attendons de vous et ce que vous pouvez attendre de nous.

Nos engagements

Lorsque vous travaillez avec nous dans le cadre de la présente politique, vous pouvez attendre de nous que nous :

• répondions rapidement à votre signalement et collaborions avec vous pour le comprendre et le valider ;
• nous efforcions de vous tenir informé·e de l’avancement du traitement d’une vulnérabilité ;
• travaillions à corriger les vulnérabilités découvertes dans des délais raisonnables, dans la limite de nos contraintes opérationnelles ;
• évaluions votre signalement au regard de la version de la présente politique en vigueur le jour de sa réception ; et
• étendions le Safe Harbor à vos recherches de vulnérabilités liées à la présente politique.

Nos attentes

En participant de bonne foi à notre programme de divulgation des vulnérabilités, nous vous demandons de :

• respecter les règles, y compris la présente politique et tout autre accord applicable. En cas de contradiction entre la présente politique et d’autres conditions applicables, les termes de la présente politique prévalent ;
• signaler rapidement toute vulnérabilité que vous avez découverte ;
• nous fournir une preuve de concept (PoC) fonctionnelle ou, à tout le moins, une preuve ou un échantillon démontrant que la vulnérabilité signalée est réellement exploitable ;
• éviter de porter atteinte à la vie privée d’autrui, de perturber nos systèmes, de détruire des données ou de nuire à l’expérience des personnes qui utilisent nos services ;
• n’utiliser que les Canaux officiels pour échanger avec nous des informations sur une vulnérabilité ;
• nous laisser un délai raisonnable (au moins 90 jours à compter du signalement initial) pour résoudre le problème avant de le divulguer publiquement ;
• ne réaliser de tests que sur les systèmes situés dans le périmètre, et respecter les systèmes et activités qui en sont exclus ;
• si une vulnérabilité donne un accès non prévu à des données : limiter le volume de données consultées au strict minimum nécessaire pour démontrer efficacement une preuve de concept (PoC) ; et cesser les tests et soumettre un signalement immédiatement si vous rencontrez, au cours de vos tests, des données personnelles telles que des informations personnelles identifiables (PII), des informations de santé personnelles (PHI), des données de carte de crédit ou des informations propriétaires ;
• n’interagir qu’avec des comptes de test qui vous appartiennent ou avec l’autorisation explicite de la personne titulaire du compte ; et
• ne vous livrer à aucune extorsion.

Canaux officiels

Merci de signaler les problèmes de sécurité à security@peerdom.org, en fournissant toutes les informations pertinentes. Plus vous donnez de détails, plus il nous sera facile de trier et de corriger le problème.

Systèmes dans le périmètre

La présente politique s’applique à tout actif numérique détenu, exploité ou maintenu par Peerdom AG.

Hors périmètre

Les actifs ou autres équipements qui n’appartiennent pas aux parties participant à la présente politique. Les vulnérabilités découvertes ou soupçonnées dans des systèmes hors périmètre doivent être signalées au fournisseur concerné ou à l’autorité compétente. Les soumissions portant sur les vulnérabilités suivantes seront considérées comme hors périmètre et ne donneront droit à aucune récompense :

• Injection d’hyperliens dans les e-mails
• Limitation de débit (rate limiting)
• Questions de bonnes pratiques (nous exigeons la preuve d’une vulnérabilité de sécurité)
• Vulnérabilités n’affectant que les personnes utilisant des navigateurs et des plateformes obsolètes ou non mis à jour
• Situations de concurrence (race conditions) qui ne compromettent la sécurité de personne ni celle de Peerdom
• Signalements de dommages théoriques sans risque réel
• Résultats bruts de scanners automatisés ou de modèles de langage fournis sans explication, ou constats que la personne à l’origine du signalement n’a pas validés elle-même sur un système Peerdom en fonctionnement
• CSRF sans implication de sécurité (connexion, déconnexion ou CSRF non authentifié)
• Liens morts
• Absence de drapeaux (flags) sur des cookies non sensibles du point de vue de la sécurité
• Attaques nécessitant un accès physique à l’appareil d’une personne
• En-têtes de sécurité manquants sans lien avec une vulnérabilité de sécurité
• Signalements de suites de chiffrement SSL/TLS non sécurisées, sauf preuve de concept fonctionnelle
• Banner grabbing visant à identifier notre pile technique, ou divulgation de versions logicielles
• Ports ouverts sans vulnérabilité associée
• Politiques de mot de passe et de récupération de compte, comme l’expiration des liens de réinitialisation ou la complexité des mots de passe
• Divulgation de fichiers ou de répertoires publics connus (p. ex. robots.txt)
• Signalements de spam
• Énumération de noms d’utilisateur ou d’adresses e-mail
• Présence de l’attribut autocomplete sur des formulaires web
• Enregistrements de sécurité e-mail et DNS (y compris DNSSEC, DMARC, DANE, MTA-STS, TLS-RPT et BIMI), qu’ils soient absents ou configurés avec une politique permissive (p. ex. une politique DMARC p=none)
• En-têtes HSTS ou CSP
• Injection d’en-tête Host, sauf si vous pouvez démontrer comment un tiers peut l’exploiter
• Reflected File Download (RFD)
• Informations EXIF non supprimées des images téléversées
• Vulnérabilités de déni de service reposant sur l’envoi d’une charge utile volumineuse dans un champ de saisie et le déclenchement d’une erreur 500
• Utilisation de fonctionnalités du produit (invitation, inscription, mot de passe oublié) pour envoyer des messages à une adresse e-mail quelconque
• Téléversement de fichiers sans restriction, en l’absence d’un scénario d’attaque clair ou d’une preuve de concept
• Signalements insuffisants ne contenant que des captures d’écran ou des enregistrements, sans description claire ni procédure de reproduction
• Signalements émanant de personnes salariées ou de free-lances sous contrat ayant travaillé par le passé pour Peerdom AG
• Injection HTML non-XSS liée au markdown (p. ex. balises de lien)
• Signalements de comptes accessibles à l’aide d’identifiants provenant de fuites de données tierces, de journaux d’infostealers, de sites de partage de texte ou d’autres sources externes (c’est-à-dire le credential stuffing / OAT-008). La réutilisation d’identifiants sur des services sans rapport avec le nôtre n’est pas une vulnérabilité de Peerdom.
• Clickjacking, framing ou UI redressing sans démonstration d’une action pertinente sur le plan de la sécurité et modifiant un état
• Tabnabbing, ou absence d’attribut rel="noopener" / rel="noreferrer" sur les liens sortants
• Sessions qui restent valides après un changement de mot de passe, un changement d’adresse e-mail ou la suppression de l’identité externe utilisée à l’inscription, sans démonstration d’un chemin menant à la prise de contrôle du compte
• Injection de formules CSV, TSV ou tableur dans les fichiers exportés, lorsque l’exploitation dépend du fait que la personne destinataire passe outre l’avertissement de son propre tableur au sujet des formules ou des contenus externes
• Constats déjà signalés par une autre personne, déjà connus de nous ou déjà suivis dans notre backlog interne au moment où votre signalement nous parvient. Nous retenons le premier signalement complet et reproductible d’un problème.
• Redirections ouvertes sur notre site vitrine (peerdom.com) qui ne démontrent pas la fuite d’un jeton, d’un identifiant ou d’une session

Les activités suivantes entraînent une disqualification immédiate du programme et la perte de tout droit à une récompense :

• L’ingénierie sociale, sous quelque forme que ce soit, à l’encontre d’autres clientes et clients ou du personnel de Peerdom, y compris les tentatives de spearphishing et les prises de contact avec notre équipe de support.
• Le scan automatisé, le mail bombing, le spam, les attaques par force brute ou les attaques automatisées avec des programmes comme Burp Intruder.
• Le déni de service : perturber l’accès d’autres clientes et clients à leurs propres comptes.

Conditions de paiement (récompense facultative)

Peerdom n’exploite pas de programme de bug bounty formel, mais nous pouvons, à notre seule discrétion, choisir d’offrir une récompense monétaire pour certaines divulgations de vulnérabilités jugées exceptionnellement précieuses. Si une telle récompense est proposée, les conditions suivantes s’appliquent :

• Devise et moyen de paiement : les paiements sont effectués en dollars américains (USD), en francs suisses (CHF) ou en euros (EUR) via PayPal. PayPal est le seul moyen de paiement accepté, et ce sont les seules devises acceptées, afin de garantir la conformité avec les réglementations financières.

• Titularité du compte : les paiements ne seront effectués que vers des comptes bancaires ou des comptes PayPal enregistrés au nom de la personne physique ou de l’entité juridique qui soumet le signalement. Une preuve de titularité peut être exigée.

• Processus de paiement : le paiement est effectué dans les 30 jours suivant la validation de la vulnérabilité signalée et la confirmation écrite d’une récompense.

• Responsabilité fiscale : la personne qui reçoit la récompense est seule responsable de la déclaration et du paiement de tout impôt applicable dans sa juridiction. Peerdom ne retient ni ne reverse aucun impôt pour son compte.

• Absence d’obligation : l’octroi d’une récompense monétaire est entièrement discrétionnaire. Si une récompense ne peut être versée pour des raisons juridiques, techniques ou de conformité, Peerdom se réserve le droit de révoquer l’offre sans engager sa responsabilité.

Safe Harbor

Lorsque vous menez des recherches de vulnérabilités dans le cadre de la présente politique, nous considérons que ces recherches, conduites au titre de celle-ci, sont :

• autorisées au regard de toute loi anti-piratage applicable, et nous n’engagerons ni ne soutiendrons d’action en justice contre vous pour des manquements accidentels et de bonne foi à la présente politique ;
• autorisées au regard de toute loi pertinente contre le contournement, et nous n’introduirons aucune réclamation contre vous pour contournement de mesures techniques de protection ;
• exemptées des restrictions de nos Conditions d’abonnement qui feraient obstacle à la conduite de recherches en sécurité, restrictions auxquelles nous renonçons dans cette mesure limitée ; et
• licites, utiles à la sécurité générale d’Internet, et menées de bonne foi.
• Il vous appartient, comme toujours, de respecter l’ensemble des lois applicables. Si un tiers engage une action en justice contre vous et que vous vous êtes conformé·e à la présente politique, nous ferons le nécessaire pour faire savoir que vos actions ont été menées conformément à celle-ci.

Si, à un moment quelconque, vous avez des doutes ou n’êtes pas certain·e que vos recherches en sécurité sont conformes à la présente politique, soumettez un signalement via l’un de nos Canaux officiels avant d’aller plus loin.

Notez que le Safe Harbor ne s’applique qu’aux réclamations juridiques relevant du contrôle de l’organisation participant à la présente politique, et que celle-ci n’engage pas les tiers indépendants.

Modifications de la présente politique

Nous révisons la présente politique de temps à autre, le plus souvent pour préciser ce qui sort de son périmètre à mesure que de nouvelles catégories de signalements nous parviennent. La date indiquée en haut de ce document est celle de sa dernière révision.

Les modifications de périmètre ne s’appliquent pas rétroactivement. Votre signalement est évalué au regard de la version de la présente politique en vigueur le jour de sa réception, et une exclusion ajoutée après cette date ne l’affecte pas. Si vous souhaitez savoir quelle version s’appliquait à un signalement que vous nous avez adressé, demandez-le via nos Canaux officiels et nous vous le dirons.