Politique de divulgation des vulnérabilités

1. Champ d’application

Cette politique s’applique aux sites publics, applications hébergées et API exploités par Sytance Technologies Limited qui renvoient vers cette page, y compris le service Sytance.

Les environnements des clients, les systèmes qu’ils gèrent, les services et intégrations de tiers, les projets open source que nous ne maintenons pas ainsi que les infrastructures que nous ne possédons ni ne contrôlons sont hors du champ d’application. Un composant tiers utilisé par Sytance n’entre dans le périmètre que si votre signalement concerne son effet sur un service exploité par Sytance.

Si la propriété ou le périmètre n’est pas clair, écrivez à security@sytance.com et attendez notre confirmation avant de poursuivre.

2. Recherches autorisées de bonne foi

La recherche en sécurité n’est autorisée au titre de cette politique que si elle est menée de bonne foi, reste dans le périmètre défini, respecte les règles ci-dessous et se limite à ce qui est raisonnablement nécessaire pour confirmer et signaler une vulnérabilité présumée.

• Utilisez uniquement des comptes et des données qui vous appartiennent ou que vous êtes autorisé à utiliser.
• Effectuez le minimum de tests nécessaire pour confirmer le problème et limitez les requêtes afin de ne pas affecter le service ni les autres utilisateurs.
• Arrêtez immédiatement si vous accédez aux données, identifiants ou informations confidentielles d’une autre personne.
• Ne conservez pas, ne modifiez pas, ne supprimez pas, ne divulguez pas et ne téléchargez pas de données en masse.
• N’installez pas de mécanisme de persistance, ne déployez aucun logiciel malveillant et n’exploitez pas une vulnérabilité à d’autres fins que sa validation et son signalement.
• Signalez rapidement le problème, gardez les détails confidentiels et laissez-nous un délai raisonnable pour l’examiner et le traiter.

3. Tests interdits

• Tests de déni de service, de charge, de résistance ou d’épuisement des ressources.
• Ingénierie sociale, hameçonnage, attaques par réutilisation d’identifiants (credential stuffing) ou par pulvérisation de mots de passe (password spraying).
• Attaques physiques ou tests d’installations et d’infrastructures appartenant à des tiers.
• Activités destructrices, corruption de données, création massive de comptes ou analyses automatisées à grande échelle.
• Tests qui enfreignent la loi ou les droits d’une autre personne.
• Menaces, extorsion ou demandes de paiement.

4. Contenu du signalement

Un signalement concis accompagné d’étapes de reproduction nous aide à évaluer le problème en toute sécurité et à répondre plus rapidement. Dans la mesure du possible, indiquez les éléments suivants :

• Le domaine, l’URL, la route d’API, la fonctionnalité ou le composant concerné.
• Une description claire de la vulnérabilité et de son impact potentiel.
• Les étapes de reproduction à l’aide d’un compte de test et de données expurgées.
• Une preuve de concept minimale, une requête et sa réponse, une capture d’écran ou un extrait de journal.
• Les prérequis et les précautions prises.
• Les coordonnées auxquelles vous souhaitez être contacté.

5. Délais de réponse visés

Nous visons à accuser réception d’un signalement suffisamment complet dans un délai de trois jours ouvrés et à communiquer les premières conclusions de l’évaluation dans les dix jours ouvrés. Tant qu’un problème confirmé fait l’objet d’une enquête active, nous visons à informer le signalant de toute avancée substantielle au moins tous les dix jours ouvrés, s’il nous a communiqué des coordonnées valides.

Un jour ouvré correspond à un jour du lundi au vendredi, hors jours fériés à Hong Kong. Il s’agit d’objectifs de communication, et non de délais garantis de correction. Un signalement incomplet, un volume élevé de demandes, une complexité technique inhabituelle ou la dépendance à un tiers peuvent prolonger ces délais ; dans ce cas, nous communiquerons si possible une nouvelle estimation.

6. Traitement d’un signalement

• Réception et suivi — nous enregistrons le signalement, vérifions que l’actif concerné relève du périmètre et établissons un moyen de contact avec son auteur.
• Triage et reproduction — nous évaluons les informations reçues, tentons de reproduire le comportement, éliminons les doublons et demandons des précisions si nécessaire.
• Évaluation et priorisation des risques — après validation, nous évaluons la gravité, l’exploitabilité, les données et utilisateurs concernés, l’exposition, les mesures compensatoires et les signes d’exploitation active.
• Correction et vérification — l’équipe responsable élabore une mesure d’atténuation ou un correctif, le teste, gère les dépendances de version ou de tiers et en vérifie le résultat.
• Clôture et divulgation — nous communiquons au signalant les conclusions qu’il est possible de partager, coordonnons toute divulgation publique et déterminons si un avis de sécurité ou une mention de remerciement est approprié.

7. Protection des recherches de bonne foi

Si vous vous efforcez de bonne foi de respecter cette politique, nous considérerons vos recherches comme autorisées dans la mesure où nous pouvons légalement vous accorder cette autorisation et n’engagerons pas d’action juridique du seul fait d’un comportement accidentel et de bonne foi restant dans le périmètre.

Si un tiers engage une action juridique au sujet d’une activité conforme à cette politique, nous pourrons confirmer qu’elle a été menée dans le cadre de notre processus de divulgation des vulnérabilités. Nous ne pouvons pas autoriser une activité au nom d’une autre organisation ni garantir la réponse d’un tiers ou d’une autorité publique.

Cette protection n’autorise pas les actes illégaux, imprudents, malveillants ou relevant de l’extorsion ; elle ne porte pas atteinte aux droits d’autrui et ne couvre pas la poursuite d’une activité après que nous vous avons demandé d’y mettre fin.

8. Divulgation coordonnée et reconnaissance

Pendant notre enquête, gardez confidentiels la vulnérabilité présumée, la preuve de concept, les informations concernant les clients touchés et les détails des corrections. Nous visons généralement une divulgation coordonnée dans les 90 jours calendaires suivant l’accusé de réception d’un signalement suffisamment complet. Avant toute publication, contactez-nous afin que nous puissions convenir du périmètre technique et d’une date laissant aux utilisateurs le temps de se protéger.

La date de divulgation appropriée peut être avancée ou retardée selon la gravité, l’exploitation active, le risque pour les clients, l’état de préparation d’une version et les tiers concernés. Nous ne demandons pas de prolongation dans le seul but d’éviter un examen ; si un délai supplémentaire est nécessaire, nous en expliquerons la raison dans la mesure où nous pouvons le faire sans risque.

Nous pouvons publier un avis de sécurité si la divulgation aide les utilisateurs à se protéger. Nous discuterons avec le signalant de la manière de le citer avant de le nommer.

Cette politique n’est pas un programme de prime aux bugs et ne crée aucun droit à un paiement, une récompense, un emploi ou une autre forme d’indemnisation.