Divulgation des vulnérabilités

Politique de divulgation des vulnérabilités

Nous prenons au sérieux la sécurité de notre site public et de nos systèmes. Si vous avez trouvé un problème de sécurité, merci de le signaler de manière responsable.

Périmètre

Cette politique couvre le site public cryptorecovers.com et son infrastructure directement associée. La recherche est bienvenue dans les limites ci-dessous. Tout ce qui sort de ce périmètre – y compris les systèmes de nos clients, partenaires ou hébergeurs – n’est pas couvert par cette politique.

Recherche autorisée

Vous pouvez tester le site public à la recherche de vulnérabilités avec des techniques raisonnables et non destructives : vérification des erreurs de configuration courantes, test du traitement des entrées et examen des fichiers publics. Vous ne pouvez pas accéder, tenter d’accéder ou modifier des systèmes, comptes, bases de données, matériels de portefeuille ou données personnelles autres que vos propres données de test.

Comment signaler

Envoyez votre rapport à security@cryptorecovers.com. Si possible, chiffrez-le avec notre clé publique PGP (voir la page PGP) ; l’empreinte y est publiée. Ne publiez pas la vulnérabilité publiquement avant que nous ayons eu une chance raisonnable de réagir et de corriger.

Que doit contenir votre rapport

Une description claire du problème et de l’endroit où il se produit ; les étapes de reproduction, suffisamment détaillées pour que nous puissions vérifier ; l’impact potentiel que vous avez identifié ; vos coordonnées (facultatives mais utiles) ; et la confirmation que vous n’avez utilisé que vos propres données de test.

Nos engagements

Nous accuserons réception de votre rapport sous cinq jours ouvrés, vous tiendrons informé de l’avancement et travaillerons avec vous pour vérifier et corriger le problème. Nous n’engagerons pas de poursuites contre les chercheurs qui signalent de bonne foi et respectent cette politique.

Tests interdits

Ne sont pas autorisés : les attaques par déni de service, l’ingénierie sociale, les tentatives d’accès physique, l’exploitation de vulnérabilités au-delà de ce qui est nécessaire à la confirmation, l’accès à des systèmes tiers, ainsi que les tests touchant aux matériels de portefeuille, données personnelles ou comptes de clients. Restez dans le périmètre et n’utilisez que vos propres données de test.

Confidentialité

Les signalements sont traités de manière confidentielle. Nous utilisons les informations uniquement pour vérifier, trier et corriger le problème, et pour communiquer avec vous à ce sujet. Nous ne vous demandons jamais de matériel de portefeuille, et vous ne devez jamais nous en envoyer.

Récompenses

Nous n’exploitons pas actuellement de programme de bug bounty et n’offrons pas de récompense financière. Nous sommes reconnaissants des signalements responsables et ne créditons publiquement les chercheurs qu’avec leur consentement explicite.