Politique de cybersécurité
DropBG (dropbg.io) • Divulgation coordonnée des vulnérabilités
Politique
Nous vous remercions de l’intérêt que vous portez à l’amélioration de notre sécurité. Veuillez suivre les règles ci-dessous afin d’éviter tout risque de poursuites judiciaires.
Directives de divulgation coordonnée des vulnérabilités
- Évitez tout partage non autorisé. Pendant le processus de divulgation coordonnée, veuillez ne discuter de la vulnérabilité qu’avec le fournisseur concerné, le propriétaire du système et nous-mêmes.
- Laissez le temps de corriger. Attendez avant de divulguer publiquement la vulnérabilité que les parties concernées aient eu suffisamment de temps pour la corriger, ou que vous et toutes les parties — y compris DropBG — ayez conclu un accord de divulgation.
- Limitez les interactions au strict minimum. Après avoir signalé une vulnérabilité, n’interagissez plus avec le système affecté pendant le processus de divulgation coordonnée.
- Limitez votre périmètre. Lors de la démonstration d’une preuve de concept (Proof of Concept), n’effectuez que le minimum d’actions nécessaires. Ne téléchargez, ne modifiez et ne supprimez aucune donnée au-delà de ce qui est requis.
- Ne dépassez pas vos droits d’accès. Évitez d’élever vos privilèges ou d’explorer un système au-delà du minimum nécessaire à votre preuve de concept. Utilisez uniquement vos propres comptes pour les tests et n’exfiltrez jamais les données d’autres utilisateurs.
- Utilisez des méthodes éthiques. N’utilisez pas de techniques de force brute ou d’ingénierie sociale pour accéder à un système.
- Évitez les actions malveillantes. Ne menez pas d’attaques par déni de service (DoS) et n’installez pas de logiciels malveillants ou de virus.
- Fournissez vos adresses IP. Dans la mesure du possible, indiquez les adresses IP que vous avez utilisées lors de votre découverte. Cela nous aide à évaluer les exploitations potentielles et à réduire les alertes de faux positifs.
- Communiquez vos projets. Si vous avez l’intention de divulguer publiquement vos découvertes, par exemple lors d’une conférence ou dans un article, veuillez nous en informer à l’avance.
À quoi s’attendre de notre programme CVD
- Protection juridique. Tant que vous respectez nos directives, agissez de bonne foi et n’avez aucune intention malveillante, vous ne ferez l’objet d’aucune action civile ou pénale de notre part pour avoir signalé une vulnérabilité.
- Confidentialité et anonymat. Votre signalement sera traité de manière confidentielle. Vous pouvez choisir de rester anonyme, et nous ne partagerons vos données personnelles avec aucun tiers sans votre consentement explicite.
- Reconnaissance. Nous serons ravis de vous créditer par votre nom ou pseudonyme en tant que découvreur de la vulnérabilité une fois le problème résolu.
- Réponse rapide. Vous recevrez une confirmation de votre signalement dans un délai de 3 jours ouvrés, et nous évaluerons le problème dans un délai de 5 jours ouvrés.
- Communication. Nous vous tiendrons informé de l’avancement de la résolution de la vulnérabilité et, en cas de publication d’un CVE, nous coordonnerons la divulgation avec toutes les parties impliquées.
- Inscription au Mur de la renommée (Wall of Fame). Nous sommes un projet indépendant et n’offrons pas de primes financières (bug bounties). En reconnaissance de votre contribution, nous afficherons volontiers votre nom ou pseudonyme sur notre Mur de la renommée de sécurité public (sauf si vous préférez rester anonyme).
Pour signaler une vulnérabilité, envoyez un e-mail à dropna@pm.me. Notre fichier de sécurité conforme à la norme RFC 9116 est disponible sur /.well-known/security.txt.
Dernière modification le 29 septembre 2026