Programme de divulgation des vulnérabilités

Ce qui entre dans le périmètre

Veuillez tester uniquement les éléments suivants :

• Notre site web talismanleads.io et ses sous-domaines, y compris les pages de connexion, de compte, de facturation et d’outils gratuits.
• Notre bot Telegram, @TalismanLeadsV1bot.
• Les API propres au site web, lorsque vous y accédez depuis votre propre compte.

En cas de doute sur ce qui nous appartient, demandez-nous avant de tester.

Ce qui est hors périmètre

Veuillez ne pas nous envoyer de rapports concernant :

• Les services exploités par d’autres entreprises, comme Telegram, Cloudflare, les réseaux de paiement et le widget de chat en direct. Veuillez signaler ces problèmes à leurs propriétaires.
• Les comptes et les données des autres clients.
• Ce que nos vérificateurs et outils gratuits sont conçus pour faire, par exemple indiquer si un numéro ou une adresse e-mail possède un compte.
• Le fait qu’une adresse e-mail ou un nom d’utilisateur soit déjà enregistré chez nous, sur les pages d’inscription, de connexion ou de réinitialisation du mot de passe.
• Les enregistrements e-mail (SPF, DKIM, DMARC, BIMI), DNSSEC ou CAA manquants ou faibles, et les domaines d’apparence similaire.
• Les en-têtes de sécurité manquants (CSP, HSTS, X-Frame-Options et similaires), les indicateurs de cookies et les réglages SSL/TLS tels que le choix des suites de chiffrement, sauf si vous démontrez une attaque fonctionnelle.
• Les noms de logiciels et numéros de version, les bannières de serveur et les fichiers publics tels que robots.txt, le sitemap ou security.txt.
• Les clés destinées à être publiques, comme les clés CAPTCHA, d’analyse d’audience et de client navigateur présentes dans le code source d’une page.
• Le self-XSS, le clickjacking ou le CSRF sur des pages sans action sensible, le CSRF de déconnexion, les redirections ouvertes sans autre impact, le tabnabbing et l’injection de texte qui n’exécute aucun script.
• Les limites de débit sur les pages et formulaires publics, y compris la saturation par e-mails ou par inscriptions, sauf si elles permettent à quelqu’un de prendre le contrôle d’un compte ou de dépenser de l’argent.
• Les règles de mot de passe, la durée de session et le caractère facultatif ou l’absence de l’authentification à deux facteurs.
• Les attaques qui nécessitent un accès physique, un appareil rooté ou jailbreaké, un navigateur obsolète ou une victime déjà compromise.
• Le phishing, l’ingénierie sociale et le déni de service.
• Les mots de passe et autres données issus de fuites d’autres sites, sauf s’ils fonctionnent sur le nôtre.
• Les résultats de scanners automatisés ou d’outils d’IA sans preuve fonctionnelle, et les conseils de bonnes pratiques sans impact sur la sécurité.
• Les bugs sans impact sur la sécurité, et les questions sur votre compte ou votre facturation. Pour cela, veuillez utiliser la page de contact.

Nous pouvons clore les rapports portant sur ces points sans y répondre.

Comment tester en toute sécurité

• Utilisez uniquement des comptes que vous avez créés vous-même, et uniquement des numéros et des adresses e-mail qui vous appartiennent ou que vous avez l’autorisation d’utiliser.
• Ne consultez, ne modifiez et ne supprimez pas de données qui ne vous appartiennent pas. Si vous accédez aux données d’une autre personne, arrêtez-vous, n’en conservez aucune copie et informez-nous.
• N’effectuez pas de tests de déni de service, ne saturez pas les formulaires, n’envoyez pas de spam et ne ralentissez pas le service pour les autres.
• N’essayez pas de tromper notre personnel ou nos clients, et ne tentez aucune attaque physique.
• Si un problème vous donne accès à du solde ou à des services payants, n’utilisez que ce qui est nécessaire pour le démontrer et informez-nous afin que nous puissions annuler l’opération.
• Gardez le problème confidentiel jusqu’à ce qu’il soit corrigé et que nous nous soyons mis d’accord sur sa divulgation.

Ce que doit contenir votre rapport

• La nature du problème et ce qu’un attaquant pourrait en faire.
• La page, la route d’API ou la commande du bot concernée.
• Les étapes pour le reproduire, avec des captures d’écran ou une preuve de concept.
• Comment vous joindre et, le cas échéant, le nom sous lequel vous souhaitez être cité.

Veuillez ne pas inclure les données personnelles d’autres personnes dans votre rapport.

Ce que vous pouvez attendre de nous

• Nous accusons réception des rapports entrant dans le périmètre sous 5 jours ouvrés.
• Nous examinons le problème et vous indiquons si nous pouvons le reproduire et quelle est la suite.
• Nous vous informons de l’avancement de nos travaux et vous prévenons lorsque le problème est corrigé.
• Si vous le souhaitez, nous vous citons lorsque nous publions un texte sur la correction.

Protection juridique (safe harbor)

Si vous agissez de bonne foi et respectez la présente politique, nous considérons vos recherches comme autorisées. Nous n’engagerons aucune action en justice contre vous et ne vous signalerons pas aux autorités pour ces recherches. Si un tiers prend des mesures contre vous à ce sujet, nous indiquerons clairement que vous avez agi dans le cadre de la présente politique.

Cela ne couvre que les propres systèmes de TalismanLeads. Nous ne pouvons pas autoriser de tests sur les systèmes de qui que ce soit d’autre. En cas de doute sur ce qui est permis, demandez-nous d’abord.

Divulgation publique

Veuillez nous laisser un délai raisonnable pour corriger un problème avant de publier quoi que ce soit à son sujet. Nous visons à résoudre les problèmes confirmés sous 90 jours et conviendrons d’une date avec vous. Certains problèmes prennent plus de temps, et nous vous préviendrons si c’est le cas du vôtre.

Récompenses

Il s’agit d’un programme de divulgation et non d’un programme de bug bounty : nous ne rémunérons donc pas les rapports. Nous vous sommes reconnaissants de votre aide et serons heureux de vous citer pour celle-ci. Les rapports qui demandent un paiement avant de communiquer les détails sont clos sans réponse.

Une fois le problème corrigé, nous pouvons aussi vous citer dans notre Hall of Fame, avec ce que vous avez trouvé. Nous ne vous citons qu’avec votre autorisation, et vous pouvez nous demander à tout moment de retirer cette mention.