Divulgation de sécurité

Comment signaler

Écrivez à support@guardx.fr avec l’objet « Security report ». Indiquez ce que vous avez trouvé, les étapes pour le reproduire, l’hôte ou le point d’accès concerné et l’impact observé. Captures d’écran, requêtes et preuve de concept sont utiles. Merci d’écrire en français ou en anglais.

À quoi vous attendre

• Nous accusons réception et vous tenons informé pendant l’analyse et la correction.
• Nous n’engagerons pas de poursuites pour des recherches menées de bonne foi dans le respect des règles ci-dessous.
• Nous vous citerons volontiers une fois le problème corrigé, si vous le souhaitez.

Nous n’avons pas de programme de bug bounty rémunéré pour le moment.

Règles

• Testez uniquement des comptes et domaines qui vous appartiennent ou que vous avez créés pour le test.
• N’accédez pas aux données d’autres clients, ne les modifiez pas et ne les supprimez pas. Si vous y accédez par accident, arrêtez et prévenez-nous.
• Pas de test de déni de service, pas de trafic volumétrique, pas d’ingénierie sociale ni d’attaque physique, et pas de scan automatisé dégradant le service.
• Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.

Périmètre

guardx.fr, dashboard.guardx.fr et le proxy GuardX lui-même : authentification, gestion des sessions, cloisonnement entre clients, injections, gestion des certificats et des clés, et contournements de la protection. Les failles de services tiers que nous utilisons doivent être signalées à ces prestataires.

Hors périmètre

Absence d’en-têtes de bonne pratique sans impact démontré, rapports de scanners automatiques sans preuve exploitable, spam et configuration e-mail, et attaques nécessitant un appareil compromis.