VigicapBezpieczeństwo
Zgłoszenie luki bezpieczeństwa
Vigicap przechowuje luki bezpieczeństwa klientów swoich użytkowników. Podatność u nas nigdy nie jest więc problemem wyłącznie wewnętrznym, a wolimy dowiedzieć się o niej od badacza niż od napastnika. Ta strona opisuje, jak ją zgłosić i do czego zobowiązujemy się w zamian.
Jak się z nami skontaktować
Prosimy o wiadomość na poniższy adres, po polsku, francusku lub angielsku. Należy opisać podatność, kroki pozwalające ją odtworzyć oraz szacowany wpływ. W razie chęci zaszyfrowania wiadomości prosimy o prośbę o klucz w pierwszym e-mailu bez szczegółów technicznych.
Jest to adres funkcyjny, obsługiwany w dni robocze. Jest również opublikowany w naszym pliku security.txt, w formacie RFC 9116.
Zakres
W zakresie
- Witryna vigicap.fr i jej subdomeny.
- Konsola agencji oraz przestrzeń klienta, wraz z ich interfejsami API.
- Infrastruktura, którą prowadzimy bezpośrednio, oraz konfiguracja naszych nagłówków, plików cookie i uwierzytelniania.
Poza zakresem
- Usługi naszych podwykonawców (Scaleway, Brevo, Stripe), które prowadzą własne programy ujawniania.
- Systemy klientów naszych użytkowników, do których nie mamy prawa Państwa upoważnić.
- Zgłoszenia pochodzące z automatycznego skanera bez wykazania wpływu oraz ustalenia konfiguracyjne bez możliwych do wykorzystania skutków.
O co prosimy
Zasady te istnieją dla ochrony danych osób trzecich, a nie aby utrudniać Państwu pracę. Ich przestrzeganie obejmuje Państwa ochroną opisaną poniżej.
- Nie należy pobierać, przechowywać ani ujawniać danych, które nie należą do Państwa. W razie natrafienia na nie należy przerwać i nas powiadomić.
- Żadnych ataków odmowy usługi, testów obciążeniowych ani zmiany lub usuwania danych.
- Żadnej socjotechniki, phishingu ani prób dostępu fizycznego wymierzonych w naszych pracowników lub dostawców.
- Należy korzystać z samodzielnie założonego konta próbnego, a nie z konta osoby trzeciej.
- Prosimy o rozsądny termin na naprawę przed publikacją i o wspólne uzgodnienie daty.
Nasze zobowiązania
- W razie przestrzegania powyższych zasad Vigicap nie wszczynie wobec Państwa żadnego postępowania sądowego ani dyscyplinarnego i uzna Państwa badania za autoryzowane.
- Potwierdzamy odbiór w ciągu 2 dni roboczych.
- W ciągu 10 dni roboczych przekazujemy pierwszą kwalifikację — dopuszczalne lub nie, wraz z naszą oceną wagi.
- Informujemy Państwa aż do naprawy, a następnie potwierdzamy datę wdrożenia produkcyjnego.
- Za Państwa zgodą wskazujemy Państwa z imienia i nazwiska. Nie oferujemy nagrody finansowej i wolimy to zapisać, niż pozostawiać do domyślenia.
security.txt
Dane kontaktowe z tej strony są publikowane również w znormalizowanej lokalizacji przewidzianej przez RFC 9116, którą większość narzędzi badawczych odczytuje automatycznie.