Politique de Divulgation de Vulnérabilités

1. Introduction

BLUE ZEBRA LABS, S.L. · NIF B88890629
C/ Saragossa, 95, ent. pta. 3 · 08006 Barcelone (Espagne)
Contact : legal@bluezebralabs.com

La sécurité des données de nos clients — et de leurs propres clients — est une priorité. Cette politique donne aux chercheurs en sécurité des instructions pour mener de bonne foi des activités de découverte de vulnérabilités, et explique comment nous signaler les vulnérabilités découvertes : quels systèmes sont couverts, quels types de tests sont autorisés et comment nous envoyer les rapports.

2. Lignes directrices

Nous vous demandons de :

• Nous prévenir dès que possible après la découverte d'un problème de sécurité réel ou potentiel.
• Nous accorder un délai raisonnable pour résoudre le problème avant toute divulgation publique.
• Faire tout votre possible pour éviter les atteintes à la vie privée, la dégradation de l'expérience utilisateur, les perturbations des systèmes en production et la destruction ou la manipulation de données.
• N'utiliser des exploits que dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité. Ne pas les utiliser pour compromettre ou exfiltrer des données, établir un accès persistant ou pivoter vers d'autres systèmes.
• Si vous confirmez une vulnérabilité ou rencontrez des données sensibles (données personnelles, informations financières ou secrets commerciaux de toute partie), interrompre le test, nous le notifier immédiatement et traiter ces données avec une stricte confidentialité.
• Ne pas soumettre un volume élevé de rapports de faible qualité.

3. Autorisation

La recherche en sécurité menée conformément à cette politique est considérée comme autorisée. Nous travaillerons avec vous pour comprendre et corriger rapidement le problème, et Blue Zebra Labs, S.L. n'engagera ni ne recommandera aucune action en justice concernant les recherches respectant cette politique.

4. Périmètre

Cette politique s'applique aux systèmes suivants :

• www.bluezebralabs.com (site public)
• portal.bluezebralabs.com (portail clients)
• api.bluezebralabs.com (API de la plateforme)
• L'application mobile companion BlueZebra
• Le widget de chat web intégrable servi par la plateforme

5. Hors périmètre

Tout système non explicitement listé ci-dessus est hors périmètre, y compris les sites web de nos clients intégrant le widget. Les vulnérabilités des solutions tierces avec lesquelles la plateforme s'intègre doivent être signalées directement au fournisseur concerné selon sa propre politique de divulgation. En cas de doute sur le périmètre, écrivez-nous avant de commencer à security@bluezebralabs.com.

6. Types de tests non autorisés

• Tests de déni de service (DoS ou DDoS).
• Tests physiques (accès aux locaux, portes, tailgating), ingénierie sociale (phishing, vishing) ou tout autre test non technique.
• Tests contre les données ou les activités réelles de nos clients.

7. Signaler une vulnérabilité

Envoyez un email à security@bluezebralabs.com. Les rapports peuvent être soumis anonymement. Notre fichier security.txt (RFC 9116) publie ce même canal.

8. Informations recommandées

Pour nous aider à traiter votre rapport, nous recommandons d'inclure :

• Une description de la vulnérabilité
• L'endroit où elle a été découverte
• L'impact potentiel
• Les étapes pour la reproduire (scripts et captures d'écran bienvenus)

Si possible, merci de rédiger votre rapport en anglais ou en espagnol.

9. Notre engagement

Si vous choisissez de partager vos coordonnées, nous nous engageons à communiquer avec vous de manière transparente et rapide : nous accuserons réception de votre rapport sous 3 jours ouvrés et vous tiendrons informé, dans la mesure de nos capacités, de la confirmation et de la correction de la vulnérabilité. Nous sommes ouverts à toute discussion.