Divulgation responsable

Périmètre

Les sites et leurs sous-domaines :

• mirelabs.fr
• crashmire.com
• liascan.fr
• levivarion.fr
• dokimo.fr

Les bundles Symfony open source : Sentinelle, Fineprint, Echo, Uplift, Rehearsal. Pour un bundle, le signalement privé de GitHub (onglet Security, « Report a vulnerability ») fonctionne aussi là où il est activé ; l'e-mail ci-dessous, toujours.

Comment signaler

Écrivez à cdelage.dev@gmail.com avec pour objet « Sécurité », en français ou en anglais. Indiquez le site ou le bundle (avec sa version), l'adresse ou le code concerné, les étapes pour reproduire et ce qu'un attaquant y gagne. Une preuve de concept aide ; un rapport soigné n'est pas nécessaire. Ne mettez pas de données d'autrui dans votre signalement.

S'il vous faut transmettre quelque chose de sensible, dites-le dans un premier e-mail : nous conviendrons d'un canal.

Ce qui se passe ensuite

1. Un accusé de réception sous 72 heures.
2. Une première analyse (confirmée ou non, gravité) sous 7 jours.
3. Une correction aussi rapide que la gravité l'exige : 7 jours pour une faille critique, 30 jours pour une faille élevée, 90 jours sinon.
4. Des nouvelles en cours de route, et un mot quand la correction est en production ou publiée.
5. Pour un bundle : un avis de sécurité GitHub publié (et un CVE quand il y a lieu), avec votre nom si vous le souhaitez.

Divulgation coordonnée

Gardez la faille privée jusqu'à sa correction, ou 90 jours après votre signalement, au premier des deux termes. Si la correction demande plus, je vous dirai pourquoi et nous fixerons une date ensemble. Une fois corrigée, vous êtes libre d'en parler.

Cadre de bonne foi

Une recherche menée de bonne foi dans le cadre de cette politique est la bienvenue : je n'engagerai aucune poursuite ni ne porterai plainte, et si un tiers le faisait pour une recherche qui a suivi ces règles, je ferai savoir qu'elle était autorisée.

Les règles

• Arrêtez-vous à la première preuve : ne jamais consulter, modifier, supprimer ni conserver des données qui ne sont pas les vôtres.
• Utilisez vos propres comptes et des données de test. N'essayez pas d'atteindre d'autres utilisateurs ou leurs sessions.
• Pas de déni de service, pas de test de charge, pas de formulaires ou d'e-mails en masse, pas de spam.
• Pas d'ingénierie sociale, d'hameçonnage ni de tentative physique envers moi, mes clients ou mes prestataires.
• Ne testez pas l'hébergeur, le prestataire de paiement ni d'autres tiers : signalez-leur directement.

Hors du périmètre

• Les rapports de scanners automatiques sans impact démontré.
• L'absence d'en-têtes ou d'attributs de cookie de bonnes pratiques sans attaque qui fonctionne.
• Le clickjacking sur des pages sans action sensible ; le self-XSS ; le CSRF de déconnexion ou de formulaires anodins.
• Les limites de débit sur des formulaires anodins ; l'énumération d'utilisateurs par le seul temps de réponse.
• Les réglages du domaine de messagerie (SPF, DKIM, DMARC) et la configuration TLS de l'hébergement.
• Les failles qui exigent un navigateur obsolète ou un appareil déjà compromis.

Récompenses

Pas de prime en argent. Des remerciements publics sur cette page et dans l'avis de sécurité, si vous le souhaitez.

Remerciements

Aucun signalement pour l'instant. Soyez le premier.