Politique de divulgation des vulnérabilités

Mis à jour le : 3 décembre 2021

Tu as trouvé une vulnérabilité ? Préviens-nous pour qu'on puisse la corriger.

Introduction

On s'efforce d'écrire un code irréprochable et sans bug, mais comme tout ingénieur logiciel le comprendra, c'est impossible dans la plupart des cas. C'est pour ça que ce programme de divulgation des vulnérabilités existe. Le document suivant présente les règles de notre programme, ce que tu peux tester et le type de tests à éviter. Il explique aussi comment signaler les problèmes et les récompenses prévues à cet effet.

Règles

Les règles sont simples :

Préviens-nous dès que possible après avoir découvert un problème de sécurité réel ou potentiel.
Fais tout ton possible pour éviter les atteintes à la vie privée, la dégradation de l'expérience utilisateur, les perturbations des systèmes de production et la destruction ou la manipulation de données.
N'utilise les exploits que dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité.
Laisse-nous un délai raisonnable pour résoudre le problème avant de le divulguer publiquement.
N'envoie pas un grand nombre de rapports de faible qualité.

Périmètre

Le périmètre de ce programme comprend les éléments suivants :

Site web - windscribe.com
API - api.windscribe.com
Points de terminaison VPN
Application Windows
Application MacOS
Application Android
Application iOS
Extension Chrome
Extension Firefox

Ce qu'il faut éviter

Pendant ta chasse aux bugs, évite ce qui suit :

Lancer des attaques DDoS sur notre infrastructure
Le brute forcing
L'ingénierie sociale
L'exfiltration de grandes quantités de données

Notre réponse

Après avoir envoyé un rapport, tu peux t'attendre à avoir de nos nouvelles sous 48 h, mais généralement bien plus vite. On tentera de reproduire le problème et de déployer un correctif dès que possible. Dans la plupart des cas, ça se fera assez rapidement, mais pour les vulnérabilités au niveau de l'application qui nécessitent une mise à jour, ça peut prendre plus de temps. Ça devrait aller de soi, mais on le dit quand même : on ne te poursuivra pas en justice si tu nous divulgues des problèmes.

Prime aux bugs

Si ton rapport est vérifié et considéré comme un problème, tu peux prétendre à une compensation pour tes efforts. Le montant exact dépend uniquement de la gravité du problème, telle que nous l'évaluons. Par le passé, on a versé entre 100 et 5 000 $ pour des vulnérabilités divulguées.

Signalement

Pour divulguer un problème, écris-nous à security (AT) windscribe.com. Tu peux trouver notre clé PGP ici. Sois aussi précis que possible et fournis les étapes exactes pour reproduire le problème.

Divulgation des vulnérabilités

Si un problème critique à large impact est découvert, on préviendra tous les utilisateurs concernés via 4 canaux de communication : des notifications dans nos applications, l'e-mail (s'il a été fourni lors de l'inscription), Twitter et Reddit. Une analyse complète du problème et de sa solution sera publiée sur notre blog. Exemple de divulgation volontaire.