Responsible vulnerability disclosure

Service Exposia — https://app.exposia.ca

Nous encourageons les signalements responsables de problèmes de sécurité concernant ce site et les services qui y sont accessibles. Ce document précise ce que nous attendons des chercheurs et comment nous contacter.

How to report a vulnerability

Send a detailed email to the official address: security@certi360.com. Include, when possible:

a description of the issue and its potential impact;
steps to reproduce the discovery;
the approximate date and time of your tests;
your means of contact for technical details.

Vous pouvez chiffrer votre message avec la clé PGP publique publiée à l'adresse https://app.exposia.ca/.well-known/pgp-key.txt (referenced from the file security.txt).

What we ask

Act in good faith : Act in good faith: aim to inform us without harming users or the service.
Do not disrupt availability : évitez les tests de charge, les dénis de service et toute action pouvant dégrader ou interrompre le service.
Respect the privacy of others : n'accédez pas aux données de comptes qui ne sont pas les vôtres ; ne consultez, ne copiez ni ne conservez de données personnelles au-delà du strict nécessaire à démontrer le problème.
Do not exploit more than necessary : limitez-vous à ce qui permet d'établir l'existence et la gravité du problème.
Report confidentiality : ne divulguez pas publiquement la vulnérabilité tant qu'un correctif raisonnable n'a pas été déployé, sauf accord contraire de notre part.

Correction time

Nous nous efforçons d'accuser réception dans un délai raisonnable et de traiter les signalements sérieux en priorité. Nous vous demandons de nous laisser un délai raisonnable (souvent de l'ordre de 90 jours, selon la complexité) avant toute divulgation publique, sauf obligation légale ou risque imminent nécessitant une communication plus rapide.

After reporting

Les signalements responsables sont appréciés. Selon les circonstances, une reconnaissance publique peut être proposée ; voir la page Acknowledgments. Aucune rémunération n'est garantie par la simple divulgation d'une vulnérabilité (nous ne promettons pas de programme de bug bounty formel dans ce document).

English (summary): Report security issues responsibly to security@certi360.com. Do not perform DoS testing, do not access others’ data, allow reasonable time for fixes before public disclosure, and use the PGP key linked from our security.txt if you wish to encrypt your message.