Divulgation responsable des vulnérabilités

Service Exposia — https://app.exposia.ca

Nous encourageons les signalements responsables de problèmes de sécurité concernant ce site et les services qui y sont accessibles. Ce document précise ce que nous attendons des chercheurs et comment nous contacter.

Comment signaler une vulnérabilité

Envoyez un courriel détaillé à l'adresse officielle : security@certi360.com. Indiquez, dans la mesure du possible :

une description du problème et son impact potentiel ;
les étapes pour reproduire la découverte ;
la date et l’heure approximatives de vos tests ;
votre moyen de contact pour des précisions techniques.

Vous pouvez chiffrer votre message avec la clé PGP publique publiée à l'adresse https://app.exposia.ca/.well-known/pgp-key.txt (référencée depuis le fichier security.txt).

Ce que nous demandons

Agir de bonne foi : viser à nous informer sans nuire aux utilisateurs ni au service.
Ne pas perturber la disponibilité : évitez les tests de charge, les dénis de service et toute action pouvant dégrader ou interrompre le service.
Respecter la vie privée d'autrui : n'accédez pas aux données de comptes qui ne sont pas les vôtres ; ne consultez, ne copiez ni ne conservez de données personnelles au-delà du strict nécessaire à démontrer le problème.
Ne pas exploiter plus que nécessaire : limitez-vous à ce qui permet d'établir l'existence et la gravité du problème.
Confidentialité du signalement : ne divulguez pas publiquement la vulnérabilité tant qu'un correctif raisonnable n'a pas été déployé, sauf accord contraire de notre part.

Délai de correction

Nous nous efforçons d'accuser réception dans un délai raisonnable et de traiter les signalements sérieux en priorité. Nous vous demandons de nous laisser un délai raisonnable (souvent de l'ordre de 90 jours, selon la complexité) avant toute divulgation publique, sauf obligation légale ou risque imminent nécessitant une communication plus rapide.

Après le signalement

Les signalements responsables sont appréciés. Selon les circonstances, une reconnaissance publique peut être proposée ; voir la page Remerciements. Aucune rémunération n'est garantie par la simple divulgation d'une vulnérabilité (nous ne promettons pas de programme de bug bounty formel dans ce document).

English (summary): Report security issues responsibly to security@certi360.com. Do not perform DoS testing, do not access others’ data, allow reasonable time for fixes before public disclosure, and use the PGP key linked from our security.txt if you wish to encrypt your message.