Politique de divulgation des vulnérabilités

Notre engagement

Nous prenons très au sérieux la sécurité de nos utilisateurs et de leurs données. Nous encourageons les chercheurs en sécurité à nous signaler tout problème et nous collaborerons avec vous pour comprendre et résoudre rapidement tout dysfonctionnement. Aucune poursuite judiciaire ne sera engagée à votre encontre pour des recherches en sécurité menées de bonne foi dans le cadre de la présente politique.

Domaine

Dans le champ d'application

• ahaslides.com et ses sous-domaines (par exemple presenter.dev.ahaslide.com et audience.ahaslides.com)
• L'application web AhaSlides, les applications pour présentateur et pour public

Hors champ

• Tests de déni de service (DoS/DDoS) et tests volumétriques ou d'inondation de trafic
• Ingénierie sociale du personnel, des utilisateurs ou des sous-traitants ; attaques physiques
• Spam, ou résultats d'analyseurs automatisés sans impact exploitable démontré
• Rapports concernant uniquement les navigateurs non pris en charge ou en fin de vie
• Services tiers que nous ne contrôlons pas (à signaler aux tiers concernés)
• Accès libre (non authentifié) pour le public : l’application permet délibérément à toute personne de rejoindre une présentation et de soumettre des réponses sans compte ni connexion, afin que le public puisse participer librement. Les signalements d’absence d’authentification lors de la participation ou de la soumission de contributions ne sont pas considérés comme des vulnérabilités.
• Les suggestions de bonnes pratiques sans incidence sur la sécurité (par exemple, les en-têtes manquants sans vulnérabilité exploitable, les détails concernant SPF/DMARC, les attaques XSS internes, les avis sur la limitation du débit) sont les bienvenues, mais ne sont pas considérées comme des vulnérabilités.

Règles d'engagement

Veuillez do:

• Signalez tout problème dès que vous le constatez et laissez-nous un délai raisonnable pour le résoudre avant de le divulguer publiquement.
• Utilisez uniquement vos propres comptes de test. Arrêtez-vous à la validation du concept.

Veuillez Nous ne :

• Il est interdit d'accéder, de modifier, de télécharger ou de supprimer des données qui ne vous appartiennent pas. Pour prouver l'accès, une capture d'écran ou un enregistrement minimal expurgé suffit ; par conséquent, ne transférez pas de données utilisateur réelles.
• Dégrader ou interrompre nos services, ou lancer des attaques automatisées de grande ampleur.
• Divulguer publiquement le problème avant que nous ayons confirmé sa résolution (voir Divulgation coordonnée).

Comment signaler

Email sécurité@ahaslides.com avec:

1. Une description claire de la vulnérabilité et de son impact.
2. Reproduction étape par étape, y compris l'URL ou le point de terminaison concerné.
3. Preuve de concept (captures d'écran, courte vidéo ou requête minimale), expurgée.
4. Votre nom ou pseudonyme pour être crédité (facultatif).

Ce que vous pouvez attendre de nous

• Remerciements dans les 2 jours ouvrables.
• A décision de triage (valide, nécessite des informations supplémentaires ou hors champ d'application) dans 5 jours ouvrables.
• Nous vous tiendrons régulièrement informés pendant que nous travaillons à la résolution du problème, et vous serez avertis lorsqu'il sera résolu.
• Nous vous invitons à nous créditer publiquement dans nos remerciements de sécurité, si vous le souhaitez.

Divulgation coordonnée

Nous vous demandons de garder les détails confidentiels jusqu'à ce que nous confirmions le déploiement d'un correctif, et de coordonner avec nous toute publication publique. Notre fenêtre de correction cible est : 90 jours; si nous avons besoin de plus de temps, nous vous en expliquerons la raison.

Reconnaissance

AhaSlides est une entreprise en pleine croissance et ne propose pas de programme de primes fixes et publié. Lorsqu'un rapport est valide, original et divulgué de manière responsable, nous pouvons, à notre discrétion, offrir une petite marque de reconnaissance et/ou une mention publique en guise de remerciement.

Rapports en double. Lorsque plusieurs personnes signalent le même problème, premier rapport reproductible que nous recevons Seul le premier journaliste admissible à une récompense peut prétendre à une telle récompense. Les journalistes traitant ultérieurement du même sujet peuvent également être reconnus publiquement s'ils apportent des informations nouvelles et substantielles (par exemple, un impact plus grave, une meilleure reproduction ou une surface supplémentaire touchée).

Problèmes déjà connus. Si nous avons déjà connaissance d'un problème et l'avons enregistré en interne avant la réception de votre signalement, nous vous en accuserons réception et vous remercierons, mais votre signalement ne donnera pas lieu à une récompense. Comme pour les doublons, nous pouvons accorder une mention publique si votre signalement apporte des informations nouvelles et substantielles.

Nous vous sommes toujours reconnaissants de votre aide pour assurer la sécurité d'AhaSlides.