Signaler une vulnérabilité

Si vous avez découvert une faille de sécurité dans Cord, nous voulons en être informés. Voici notre programme de divulgation responsable : comment signaler une faille, ce qui entre dans le périmètre et ce à quoi nous nous engageons.

Comment signaler

Écrivez à security@flouvia.com en indiquant :

1. Ce que vous avez découvert et pourquoi c’est important (ce que quelqu’un pourrait faire avec).
2. Les étapes exactes pour le reproduire, avec les URL, les requêtes ou le code de preuve de concept.
3. Le compte ou l’environnement sur lequel vous l’avez testé.

Utilisez votre propre compte et, si possible, l’environnement de test (clés sk_test_ / pk_test_). Si, au cours de vos tests, vous accédez aux données d’une autre organisation, arrêtez-vous, ne les conservez pas, ne les partagez pas, et indiquez-nous ce que vous avez pu voir.

Le même contact est publié dans /.well-known/security.txt.

Périmètre

• cordhq.app, y compris l’API sur cordhq.app/api et les sous-domaines billing., docs. et dev..
• Les surfaces publiques : le lien du devis (/q), la facture hébergée (/i) et le générateur de devis intégré (/embed).
• Les paquets publiés : @flouviahq/elements, @flouviahq/node et @flouviahq/cli.

Hors périmètre : les attaques par déni de service ou volumétriques, l’ingénierie sociale visant l’équipe ou les clients de Cord, l’accès physique, le spam ou les tests automatisés qui génèrent de la charge sur des comptes qui ne vous appartiennent pas, et les constats sans impact démontrable (par exemple, des en-têtes absents sans scénario d’attaque).

Nos engagements

• Accuser réception de votre signalement sous 3 jours ouvrés au maximum.
• Vous communiquer une première évaluation et vous tenir informé pendant la correction.
• Vous prévenir une fois la faille corrigée, et convenir avec vous du moment où elle pourra être publiée.
• Vous créditer publiquement si vous le souhaitez.

Protection juridique (safe harbor)

Si vous agissez de bonne foi dans ce périmètre, que vous n’accédez pas à plus de données que nécessaire pour démontrer la faille et ne les conservez pas, et que vous nous laissez un délai raisonnable pour la corriger avant de la publier, nous n’engagerons aucune action en justice contre vous pour vos recherches.

Récompenses

Nous ne versons pas de récompenses financières à ce jour. Si cela change, nous le publierons sur cette page.