Notre engagement
La sécurité des données de nos utilisateurs passe avant tout. Si tu as découvert une faille dans Vukassa, nous voulons l'apprendre, la corriger vite et te tenir informé à chaque étape.
Cette politique dit ce qui est couvert, comment signaler, ce que nous attendons d'une recherche de bonne foi et ce que nous nous engageons à faire en retour. Elle complète les conditions d'utilisation : pour une recherche menée dans son cadre, c'est elle qui s'applique.
Périmètre
Sont couverts :
- les applications Vukassa pour iPhone et pour Android, dans leurs versions distribuées par l'App Store et par Google Play ;
- l'API à laquelle ces applications se connectent ;
- le site vukassa.com et les sous-domaines de vukassa.com exploités par Vukassa.
En cas de doute sur un élément, écris-nous avant de le tester : nous te répondrons.
Hors périmètre
Ne sont pas couverts, et ne doivent pas être testés dans le cadre de cette politique :
- les services des tiers que nous utilisons (hébergement, authentification, envoi d'e-mails, stores d'Apple et de Google) — une faille chez eux se signale à eux, selon leur propre programme ;
- les attaques par déni de service, les tests de charge et tout test automatisé à fort volume ;
- l'ingénierie sociale, l'hameçonnage et toute démarche visant l'équipe de Vukassa, ses prestataires ou ses utilisateurs ;
- l'accès physique à un appareil ou à des locaux.
Ne sont pas retenus comme des failles, sauf impact démontré sur la sécurité de données ou de comptes : les rapports d'outils automatiques non vérifiés, l'absence d'un en-tête ou d'une bonne pratique sans scénario d'exploitation, ce qui ne touche que la personne qui le déclenche (self-XSS), ce qui exige un appareil débridé (jailbreak, root) ou déjà déverrouillé entre les mains de l'attaquant, et ce qui ne concerne que des navigateurs ou des systèmes qui ne reçoivent plus de mises à jour de sécurité.
Les règles d'une recherche de bonne foi
Pour rester dans le cadre de cette politique :
- n'utilise que tes propres comptes, ou des comptes de test que tu as créés ;
- n'accède pas aux données d'autrui, ne les modifie pas et ne les supprime pas — si tu tombes sur des données qui ne sont pas les tiennes, arrête-toi, ne les conserve pas et signale-le-nous ;
- ne va pas au-delà de ce qui est nécessaire pour démontrer la faille ;
- ne dégrade pas le service et ne gêne pas les autres utilisateurs ;
- garde la faille confidentielle tant qu'elle n'est pas corrigée, ou jusqu'à la date de publication convenue avec nous ;
- ne demande aucune contrepartie en échange du signalement.
Comment signaler
Écris à privacy@vukassa.com, en français ou en anglais. Pour que nous puissions reproduire la faille rapidement, indique si possible :
- une description de la faille et de son impact ;
- les étapes pour la reproduire, avec l'adresse, l'écran ou l'appel concerné ;
- la plateforme et la version de l'application, ou le navigateur utilisé ;
- une preuve (capture, requête, extrait de code), sans données d'autres personnes.
Si ton signalement contient des informations sensibles, envoie d'abord un premier message sans le détail : nous conviendrons ensemble d'un moyen d'échange adapté. N'envoie pas de fichier exécutable.
Tu peux aussi adresser ton signalement à l'ANSSI, l'autorité nationale française de la sécurité des systèmes d'information, qui préserve la confidentialité de l'identité de la personne à l'origine d'un signalement de bonne foi (article L. 2321-4 du code de la défense).
Nos délais
- Accusé de réception — sous 72 heures ouvrées ;
- Première évaluation — sous 10 jours ouvrés : nous te disons si la faille est confirmée et quelle gravité nous lui donnons ;
- Correction — notre objectif est de 7 jours pour une faille critique, 30 jours pour une faille grave et 90 jours pour les autres ;
- Suivi — nous te tenons informé de l'avancement, et nous te prévenons, avec la raison, si un délai ne peut pas être tenu.
Une correction des applications n'est effective qu'une fois la nouvelle version validée par Apple et par Google ; si la gravité le justifie, nous rendons alors la mise à jour obligatoire.
Nous préférons une divulgation coordonnée : une fois la faille corrigée, tu es libre de la publier, et nous convenons ensemble de la date. À défaut d'accord, la publication est possible 90 jours après ton signalement.
Notre engagement envers les chercheurs de bonne foi
Si ta recherche respecte cette politique, nous la considérons comme autorisée. Nous nous engageons à :
- n'engager aucune poursuite, civile ou pénale, et ne déposer aucune plainte contre toi au titre de cette recherche ;
- ne pas t'opposer les restrictions des conditions d'utilisation — décompilation, contournement des limites, tests de sécurité — dans la mesure nécessaire à cette recherche ;
- faire savoir, si un tiers engage une action contre toi au titre d'une recherche conforme, qu'elle avait notre autorisation.
Cet engagement ne vaut que pour Vukassa : il ne peut autoriser aucune recherche au nom d'un tiers, ni sur un service exclu du périmètre. Si tu hésites sur la conformité d'un test, demande-nous avant de le mener.
Remerciements
Il n'y a pas de récompense financière (bug bounty) à ce stade. Avec ton accord, nous te remercions publiquement sur cette page, sous le nom ou le pseudonyme de ton choix, une fois la faille corrigée.
Aucun signalement n'a encore été publié ici.
Évolution de cette politique
Cette politique peut évoluer ; la date en tête de page indique sa dernière mise à jour. Un signalement est traité selon la version en vigueur le jour où il nous parvient. Elle fait foi en français et en anglais.