Politique de divulgation responsable

Chez WebinarGeek, nous reconnaissons le rôle essentiel que joue la sécurité dans la fourniture de services de qualité à notre base d'utilisateurs mondiale. Malgré nos efforts continus pour protéger nos systèmes, que vous pouvez consulter ici, des vulnérabilités peuvent apparaître. Nous croyons en une collaboration avec la communauté de recherche en sécurité pour identifier et résoudre les problèmes rapidement et efficacement. Nous encourageons les chercheurs et les hackers éthiques à s'engager avec nous de manière responsable afin d'améliorer notre environnement numérique.

Directives pour signaler les vulnérabilités

Nous invitons les chercheurs en sécurité et les passionnés à signaler les vulnérabilités potentielles identifiées dans nos systèmes en comprenant et en acceptant les directives suivantes :

• Contact : Envoyez vos découvertes à security@webinargeek.com. Veuillez fournir des informations détaillées, y compris les étapes pour reproduire la vulnérabilité, afin que notre équipe de sécurité puisse valider et résoudre le problème rapidement. Nous sommes convaincus que le chiffrement standard des e-mails est suffisant pour garantir la confidentialité nécessaire au signalement d'une vulnérabilité. Toutefois, si vous estimez que votre rapport de vulnérabilité nécessite l'utilisation du chiffrement PGP, vous pouvez trouver notre clé publique en bas de cette page.

• Accusé de réception : Nous nous engageons à accuser réception de votre signalement dans un délai de deux jours ouvrables.

• Enquête et résolution : Notre équipe dédiée enquêtera sur les vulnérabilités signalées et s'efforcera de les résoudre dans un délai d'une semaine après leur reconnaissance. La complexité et la gravité du problème peuvent affecter les délais de résolution.

• Confidentialité : Nous vous demandons de maintenir la confidentialité de toute vulnérabilité découverte jusqu'à ce que nous l'ayons résolue. Nous coordonnerons avec vous la divulgation publique de toute découverte.

• Récompenses et reconnaissance : Bien que tous les rapports ne soient pas éligibles à une récompense, nous évaluons les soumissions au cas par cas pour une reconnaissance ou une récompense potentielle. La nature de la récompense dépendra de la gravité et de l'impact de la vulnérabilité découverte.

• Protection juridique : Nous nous engageons à ne pas engager de poursuites judiciaires contre les personnes qui signalent des vulnérabilités en suivant ces directives, à condition qu'elles ne se soient pas livrées à des activités illégales ou à une utilisation abusive de la vulnérabilité découverte.

Ce que nous n'acceptons pas

• Tentatives d'accès, de téléchargement ou de modification de données appartenant à d'autres personnes.

• Attaques par déni de service (DoS).

• Spam.

• Ingénierie sociale ou attaques physiques contre nos biens ou nos données.

Programme de récompenses

• Les récompenses sont déterminées en fonction du niveau de risque de la vulnérabilité de sécurité signalée et sont à la discrétion de WebinarGeek.

• En cas de rapports en double, la récompense sera attribuée au premier rapporteur.

• Les récompenses sont susceptibles de changer et peuvent varier en fonction de l'unicité et de la gravité de la vulnérabilité.

Hors du périmètre

• Rapports de problèmes non liés à la sécurité ou demandes de renseignements.

• Services et logiciels tiers non directement gérés par WebinarGeek.

• Vulnérabilités connues publiquement qui ont déjà été corrigées.

• Vulnérabilités qui sont :

  • Codes HTTP 404 ou autres codes non HTTP 200

  • Bannières de version sur les services publics

  • Clickjacking sur des pages sans connexion

  • Falsification de requête intersite (CSRF) sur les formulaires accessibles de manière anonyme

  • Absence des indicateurs 'secure' / 'HTTP Only' sur les cookies non sensibles

  • Notifications relatives au certificat SSL (par ex. chiffrement faible)

  • Utilisation de la méthode HTTP OPTIONS

  • Injection d'en-tête Host

  • Absence d'enregistrements SPF, DKIM et DMARC

  • Absence de DNSSEC

  • L'absence d'en-têtes de sécurité HTTP

  • Signalement de versions obsolètes de logiciels sans preuve de concept ou exploit fonctionnel

  • Bonnes pratiques

Déclaration de clôture

Vos contributions sont inestimables pour la sécurité et l'intégrité de nos services. WebinarGeek s'engage à travailler ouvertement avec la communauté de la sécurité pour atténuer et résoudre les vulnérabilités de manière responsable. Nous attendons avec impatience vos soumissions et vous remercions de vos efforts pour nous aider à maintenir la sécurité de nos systèmes.

Pour toute question ou soumission supplémentaire, veuillez contacter security@webinargeek.com.

Clé PGP publique