Divulgation responsable

Nous prenons au sérieux la sécurité de Breeze et des données de nos utilisateurs. Vous avez trouvé une vulnérabilité dans notre app, notre site ou l'un de nos systèmes ? Signalez-la-nous pour que nous puissions la corriger. Nous souhaitons travailler avec vous pour la résoudre avant qu'elle ne soit rendue publique.

Comment signaler

Envoyez un e-mail à security@breeze.social avec :

• La nature de la vulnérabilité et l'endroit où vous l'avez trouvée
• Les étapes pour la reproduire, ou une preuve de concept
• Vos coordonnées, pour que nous puissions vous recontacter

Nous lisons les signalements en anglais et en néerlandais. Nos coordonnées figurent aussi dans notre security.txt.

Ce que nous vous demandons

• N'exploitez pas la vulnérabilité au-delà de ce qui est nécessaire pour la démontrer. Ne téléchargez, ne modifiez et ne supprimez pas de données qui ne vous appartiennent pas, et arrêtez-vous dès que vous accédez aux données personnelles d'autres personnes.
• Ne partagez la vulnérabilité avec personne tant que nous ne l'avons pas corrigée.
• N'utilisez pas d'ingénierie sociale, d'attaques physiques, de déni de service, de spam, ni de scans automatisés qui dégradent notre service.
• N'installez ni porte dérobée ni logiciel malveillant, et ne modifiez pas nos systèmes.

Ce que nous promettons

• Nous accusons réception sous deux jours ouvrés, puis vous communiquons notre évaluation ainsi qu'un calendrier prévisionnel.
• Nous vous tenons informé de l'avancement.
• Nous corrigeons les vulnérabilités aussi vite que leur gravité l'exige. Nous convenons avec vous du moment où la vulnérabilité peut être rendue publique, au plus tard 90 jours après votre signalement, sauf accord contraire.
• Nous n'engagerons pas de poursuites contre vous si vous signalez de bonne foi et respectez les règles ci-dessus.
• Nous traitons votre signalement de manière confidentielle et ne partageons pas vos coordonnées sans votre accord.
• Si vous le souhaitez, nous vous citerons comme découvreur une fois la vulnérabilité corrigée.

Nous n'avons pas de programme de bug bounty formel avec des récompenses fixes. Pour un signalement qui nous aide à corriger un vrai problème, nous pouvons verser une récompense à notre discrétion, selon sa gravité et sa qualité.

Hors périmètre

• Résultats de scanners automatisés sans impact démontré
• En-têtes de sécurité, attributs de cookies ou enregistrements SPF/DKIM/DMARC manquants sans impact démontré
• Clickjacking sur des pages sans action sensible
• Vulnérabilités dans des services tiers que nous utilisons ; signalez-les directement au fournisseur