Cette page explique comment signaler un problème de sécurité dans Beloplan, ce que vous pouvez attendre de nous et les règles que nous demandons aux chercheurs de bonne foi de respecter. Les signalements sont les bienvenus de la part de tous, clients ou non.
Signalement
Comment signaler une vulnérabilité#
Écrivez à security@beloplan.be. La même adresse, avec notre politique et les langues que nous lisons, est publiée sous forme lisible par machine dans security.txt.
N’utilisez pas l’adresse du support pour cela, et ne rendez pas les détails publics avant que nous ayons pu corriger le problème.
Ce qu’il faut indiquer
- En quoi consiste le problème et où il se trouve : l’adresse de la page ou du point d’accès, et le produit (application web, application mobile ou API).
- Les étapes pour le reproduire, ou une preuve de concept qui fonctionne. Une courte démonstration qui fonctionne vaut mieux qu’une longue description.
- Ce qu’un attaquant pourrait en faire, dans la mesure où vous avez pu l’établir sans aller plus loin que ces règles ne le permettent.
- L’heure de votre test et l’adresse depuis laquelle vous avez testé, afin que nous le retrouvions dans nos journaux.
- Comment vous joindre, et si vous souhaitez être nommé une fois le problème corrigé.
Notre réponse
Ce que vous pouvez attendre de nous#
- Nous accusons réception de votre signalement dans un délai d’un jour ouvrable.
- Nous vous tenons informé jusqu’à la correction du problème, y compris lorsque nous ne parvenons pas à le reproduire ou ne le considérons pas comme une vulnérabilité, et nous en expliquons la raison.
- Nous demandons une divulgation coordonnée : laissez-nous un délai raisonnable pour corriger le problème avant de publier quoi que ce soit. Notre délai par défaut est de 90 jours à compter de votre signalement. Si nous avons besoin de plus de temps, ou si vous avez une raison de publier plus tôt, nous convenons d’une date ensemble.
Bonne foi
Recherche de bonne foi#
La recherche en sécurité menée de bonne foi est la bienvenue. Nous n’engagerons aucune action en justice contre un signalement de bonne foi qui respecte ces règles :
- N’accédez pas aux données d’autrui et ne les modifiez pas au-delà de ce qui est nécessaire pour démontrer le problème. Utilisez un compte qui vous appartient.
- Ne menez pas d’attaque par déni de service ni rien qui dégrade le service pour les autres.
- Pas d’ingénierie sociale visant notre personnel ou nos clients, et pas d’attaque physique.
- N’envoyez pas de spam et n’utilisez pas une vulnérabilité pour envoyer des messages à des personnes.
- Si vous accédez à des données personnelles, arrêtez et prévenez-nous. Ne les conservez pas, ne les copiez pas et ne les partagez pas.
Hors périmètre
Ce que nous ne considérons pas comme une vulnérabilité#
Voici des exemples de signalements que nous clôturons en général sans correctif :
- Un en-tête de bonnes pratiques manquant, sans impact démontré.
- Le résultat brut d’un scanner automatique, sans preuve concrète que le problème est exploitable.
- Le self-XSS, où la seule personne qui peut être attaquée est celle qui a saisi la charge.
- Le clickjacking sur une page qui ne comporte aucune action sensible à déclencher.
Récompense
Pas de programme de prime aux bogues#
Nous ne versons actuellement aucune récompense pour les signalements. Avec votre accord, nous pouvons vous remercier nommément, et nous vous informerons dès que le problème sera corrigé.
Incidents
Incidents de sécurité touchant des clients#
Lorsqu’un incident de sécurité touche nos clients, nous en informons les clients concernés ainsi que les autorités, comme l’exigent la loi et nos obligations Peppol. Les maintenances planifiées et les incidents sont annoncés sur la page de statut.