Une faille de sécurité ? Nous préférons l’apprendre de vous.
Écrivez-nous par ce formulaire. Il n’y a pas d’adresse à recopier : votre signalement arrive à l’équipe Trupeo, étiqueté comme signalement de sécurité. Vous pouvez écrire en français ou en anglais.
Votre signalement
Tous les champs sont à remplir, sauf votre structure.
Il part étiqueté « Une faille de sécurité ».
Signalement envoyé.
Merci. Nous accusons réception à sous 5 jours ouvrés.
Ce qui se passe ensuite.
ALK Innovations, la société derrière Trupeo, est une petite équipe. Voici ce que vous pouvez attendre d’elle.
- Sous 5 jours ouvrés
Nous accusons réception
Nous accusons réception de chaque signalement sous 5 jours ouvrés. Cet accusé de réception peut être le seul message que vous recevrez avant que le problème soit réglé.
- Une fois tranché
Nous vous tenons au courant
Nous vous dirons quand il sera corrigé, et si nous décidons de ne pas le corriger, nous vous dirons pourquoi.
- Sans nouvelles
Renvoyez-le
Sans nouvelles de notre part sous 10 jours ouvrés, considérez que votre signalement n’est pas arrivé et renvoyez-le.
Nous n’avons pas de programme de récompense des failles (bug bounty) pour le moment.
Le périmètre.
Ce qui entre dans le périmètre
- app.trupeo.com : l’application et son API sous /api/.
- trupeo.com et www.trupeo.com : ce site.
- Les programmes qui récupèrent et rangent les mails des boîtes mail, dans la mesure où vous pouvez les atteindre à travers le produit.
Ce qui n’entre pas dans le périmètre
Nous clôturons ces signalements sans correction :
- Les résultats d’un scanner automatique sans impact démontré.
- Des en-têtes de durcissement manquants sur des points d’accès qui ne servent aucun contenu authentifié.
- Un déni de service par le volume, le contournement des limites de débit en multipliant les adresses d’origine, ou tout ce qui demande un accès physique à l’appareil de quelqu’un.
- L’ingénierie sociale visant l’équipe d’ALK Innovations ou les personnes qui utilisent Trupeo.
- Les failles d’un service tiers dont Trupeo dépend : signalez-les à ce service, et dites-le-nous aussi si la configuration de Trupeo les rend exploitables.
- Tout ce qui suppose que quelqu’un ait déjà installé un logiciel malveillant ou donné son mot de passe.
Règles pour tester la sécurité
Ce que nous demandons en échange de l’engagement écrit plus haut, sous « Avant d’envoyer ».
Revoir l’engagement- Testez sur des comptes qui vous appartiennent. Tout le monde peut créer un compte Trupeo sur app.trupeo.com, avec un essai gratuit de 30 jours sans carte. Inutile donc de toucher aux données de quelqu’un d’autre : un signalement qui le fait n’est plus de bonne foi, ni dans le périmètre.
- Ne lancez pas de tests de charge ou de stress, et ne modifiez ni ne supprimez des données que vous n’avez pas créées.
- Si montrer la faille suppose de lire la boîte mail de quelqu’un d’autre, arrêtez-vous au moment où vous avez montré que c’était possible, et dites-le-nous plutôt.