Politique de sécurité et de divulgation responsable

La sécurité est notre produit : nous accueillons donc volontiers les signalements des chercheurs qui trouvent une faille dans HackGrade. Cette page explique comment la signaler et ce que nous promettons en retour.

1. Comment signaler

Écrivez à support@hackgrade.com en décrivant le problème, les étapes pour le reproduire, l’URL concernée et l’impact que vous lui prêtez. N’incluez pas de données personnelles d’autres personnes. Nos coordonnées sont aussi publiées sous une forme lisible par machine à l’adresse /.well-known/security.txt.

2. Dans le périmètre

• Ce site et son API : hackgrade.com (y compris www.hackgrade.com), hackgrade.185-202-223-42.sslip.io et tout domaine que nous publions comme nôtre.
• Le comportement de notre scanner, par exemple une analyse qui sort du domaine vérifié ou dépasse les limites publiées.

3. Hors périmètre

• Les sites de nos clients. Signalez-les à leur propriétaire, pas à nous.
• Les services tiers que nous utilisons (hébergement, paiements, e-mail). Signalez-les-leur directement.
• Déni de service, tests de charge, spam, ingénierie sociale envers le personnel ou les utilisateurs et attaques physiques.
• Rapports d’outils automatiques sans impact démontré, en-têtes de bonnes pratiques manquants sans risque réel, et self-XSS.

4. Règles de test

• Utilisez uniquement des comptes que vous avez créés vous-même et n’accédez pas aux données d’autres utilisateurs, ne les modifiez pas et ne les supprimez pas. Si vous accédez par accident aux données de quelqu’un d’autre, arrêtez-vous, ne les conservez pas et prévenez-nous.
• Ne lancez pas, via notre Service, d’analyses approfondies de sites qui ne vous appartiennent pas pour le tester.
• Gardez un faible volume de tests et arrêtez-vous si vous constatez une dégradation.
• Laissez-nous un délai raisonnable pour corriger (nous visons 90 jours, moins pour les problèmes graves) avant toute publication, et coordonnez la publication avec nous.

5. Notre engagement (safe harbor)

Si vous agissez de bonne foi et respectez cette politique, nous considérons vos recherches comme autorisées, nous n’engagerons pas de poursuites contre vous et ne vous signalerons pas aux autorités pour celles-ci, et si un tiers agit contre vous à ce sujet, nous ferons savoir que vos recherches étaient autorisées. Nous accuserons réception sous 3 jours ouvrables, vous tiendrons informé et vous citerons publiquement si vous le souhaitez. Nous ne versons pas de primes (bug bounty) pour le moment.

Ce safe harbor ne couvre que les systèmes de HackGrade. Il ne peut pas autoriser de tests sur les systèmes d’autrui.