Politique de divulgation responsable

Chez Flanks, nous prenons très au sérieux la sécurité de nos systèmes et des données de nos clients. Nous apprécions le travail des chercheurs en sécurité qui nous aident à maintenir un niveau de sécurité élevé.

Périmètre

Les ressources suivantes sont incluses dans le champ d'application :

• *.flanks.io (applications web et API)

Les éléments suivants sont explicitement exclus du champ d'application :

• L'ingénierie sociale (hameçonnage, vishing)
• Le déni de service (DoS/DDoS)
• Les attaques de sécurité physique
• Les services et applications tiers n'appartenant pas à Flanks
• Le balayage automatisé sans coordination préalable

Signaler une vulnérabilité

Si vous pensez avoir découvert une vulnérabilité de sécurité, veuillez la signaler à security@flanks.io en incluant :

• Une description de la vulnérabilité et de son impact potentiel
• Les étapes pour reproduire le problème
• Toute preuve à l'appui (captures d'écran, journaux, preuve de concept)

Ce que nous demandons

• Nous laisser un délai raisonnable pour enquêter et résoudre le problème avant toute divulgation publique.
• Faire preuve de bonne foi pour éviter les violations de la vie privée, la destruction de données et les interruptions de service.
• Ne pas accéder ni modifier les données appartenant à d'autres utilisateurs

Nos engagements

• Accuser réception de votre rapport dans les 5 jours ouvrables
• Fournir un calendrier estimé pour la résolution
• Vous tenir informé de nos progrès
• Vous créditer publiquement (si vous le souhaitez) une fois le problème résolu
  ‍

Clause de non-poursuite

Nous n'engagerons pas de poursuites judiciaires contre les chercheurs qui découvrent et signalent des vulnérabilités de bonne foi et conformément à cette politique. Nous considérons que la recherche en sécurité menée conformément à cette politique est une conduite autorisée.

Récompenses
Récompenses

Flanks ne propose actuellement pas de programme de primes aux bogues rémunéré. Nous offrons une reconnaissance publique pour les vulnérabilités confirmées et divulguées de manière responsable.