Programme de divulgation des vulnérabilités

Lignes directrices pour une information responsable

Afin de maintenir un environnement constructif pour la recherche sur la sécurité, nous vous demandons de suivre ces lignes directrices lorsque vous effectuez des recherches :

• Ne vous engagez pas dans une forme quelconque d'attaque par déni de service (DoS) contre des applications, des serveurs, des réseaux ou des infrastructures de l'entreprise.
• Évitez les tests qui pourraient entraîner une dégradation ou une interruption de nos services.
• Si vous utilisez des scanners ou des outils automatisés, assurez-vous qu'ils fonctionnent d'une manière qui ne génère pas de trafic réseau excessif (par exemple, limitez les demandes à un maximum d'une par seconde).
• s'abstenir de toute fuite, modification ou suppression de données ou de fichiers d'utilisateurs au sein de nos applications ou de nos serveurs.
• N'accédez pas ou ne divulguez pas de fichiers provenant de nos applications ou de nos serveurs.
• Nous n'autorisons aucune forme de divulgation de la vulnérabilité, qu'elle soit totale, partielle ou autre.
• Éviter de soumettre des spams par le biais des formulaires d'inscription sur nos sites web, y compris le portail d'assistance.
• Utiliser l'agent utilisateur "VDP nom-au-mail-dot-com" dans toutes les requêtes basées sur le web.

Guidance

Security researchers must :

• N'accéder qu'à la quantité minimale de données nécessaires. Par exemple, 2 ou 3 enregistrements devraient suffire à démontrer la plupart des vulnérabilités, telles qu'une énumération ou une vulnérabilité de référence directe à un objet.
• Éviter d'utiliser des outils d'analyse technique de sécurité invasifs ou destructeurs à haute intensité pour découvrir des vulnérabilités.
• Respecter la vie privée des utilisateurs, du personnel, des sous-traitants, des services ou des systèmes de byrd. Par exemple, ne partagez pas, ne redistribuez pas, ou ne manquez pas de sécuriser correctement les données obtenues à partir de nos systèmes ou services.
• Ne pas communiquer de vulnérabilités ou de détails associés par des méthodes non décrites dans cette politique.
• Ne pas altérer les données dans les systèmes ou les services de l'entreprise.
• Ne pas perturber les services ou les systèmes byrd.
• Éviter de s'engager dans l'ingénierie sociale, les attaques de 'phishing' ou les attaques physiques contre le personnel ou l'infrastructure de l'entreprise.
• Ne divulguez pas de vulnérabilités dans les systèmes ou services de byrd à des tiers ou au public avant que byrd n'ait confirmé que ces vulnérabilités ont été corrigées. Cela ne vous empêche pas de notifier une vulnérabilité à des tiers pour lesquels la vulnérabilité est directement pertinente, par exemple lorsque la vulnérabilité est présente dans une bibliothèque ou un cadre logiciel tiers. Toutefois, ne faites pas référence à des détails spécifiques de la vulnérabilité comme cela s'applique à la fraude dans de tels rapports.
• Ne pas demander de compensation financière pour la divulgation de toute vulnérabilité.
• Supprimer en toute sécurité toutes les données récupérées pendant la recherche dès qu'elles ne sont plus nécessaires ou dans un délai d'un mois à compter de la résolution de la vulnérabilité, selon ce qui arrive en premier.