Exemple de divulgation de vulnérabilités de ResponsibleDisclosure.nl

Chez Acme Corporation, nous considérons la sécurité de nos systèmes comme une priorité absolue. Mais quels que soient les efforts que nous consacrons à la sécurité des systèmes, des vulnérabilités peuvent toujours subsister.

Si vous découvrez une vulnérabilité, nous aimerions en être informés afin de pouvoir prendre des mesures pour la traiter le plus rapidement possible.

Nous vous demandons de nous aider à mieux protéger nos clients et nos systèmes.

Veuillez procéder comme suit :

• Envoyez vos constatations par courriel à cert@example.com. Chiffrez vos constatations à l'aide de notre clé PGP afin d'éviter que ces informations critiques ne tombent entre de mauvaises mains,

• N'exploitez pas la vulnérabilité ou le problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la vulnérabilité ou en supprimant ou modifiant les données d'autrui,

• Ne révélez pas le problème à d'autres personnes tant qu'il n'a pas été résolu,

• N'utilisez pas d'attaques contre la sécurité physique, d'ingénierie sociale, de déni de service distribué, de spam ni d'applications de tiers, et

• Fournissez suffisamment d'informations pour reproduire le problème, afin que nous puissions le résoudre le plus rapidement possible. Généralement, l'adresse IP ou l'URL du système concerné et une description de la vulnérabilité suffisent, mais les vulnérabilités complexes peuvent nécessiter des explications supplémentaires.

Ce que nous promettons :

• Nous répondrons à votre signalement dans un délai de 3 jours ouvrables avec notre évaluation du signalement et une date de résolution prévue,

• Si vous avez suivi les instructions ci-dessus, nous n'engagerons aucune action en justice contre vous au sujet du signalement,

• Nous traiterons votre signalement en toute confidentialité et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation,

• Nous vous tiendrons informé de l'avancement de la résolution du problème,

• Dans les informations publiques concernant le problème signalé, nous mentionnerons votre nom comme découvreur du problème (sauf si vous souhaitez le contraire), et

• En guise de remerciement pour votre aide, nous offrons une récompense pour chaque signalement d'un problème de sécurité qui ne nous était pas encore connu. Le montant de la récompense sera déterminé en fonction de la gravité de la fuite et de la qualité du signalement. La récompense minimale sera un bon cadeau de 50 €.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible, et nous aimerions jouer un rôle actif dans la publication finale sur le problème une fois résolu.

Ce texte a été rédigé par Floor Terra et est publié sous licence Creative Commons Attribution 3.0 Unported.