Sécurité
Programme Bug Bounty. Trouvez des vulnérabilités, soyez récompensé.
Aidez-nous à renforcer notre sécurité et recevez une récompense. Nous invitons les chercheurs en sécurité à tester nos systèmes de manière responsable. Si vous trouvez une vulnérabilité, nous vous rémunérons pour l'avoir signalée.
Règles
Règles de base
- Testez avec précaution : ne perturbez pas nos services et n'utilisez pas d'outils de scan automatisés.
- Utilisez uniquement votre propre compte de test. Ne tentez jamais d'accéder aux comptes d'autres utilisateurs.
- Informez-nous immédiatement si vous accédez à nos systèmes internes.
- Gardez vos découvertes confidentielles jusqu'à ce que nous ayons résolu le problème.
- Seule la première personne à signaler une vulnérabilité spécifique reçoit la récompense.
Périmètre
Ce que nous recherchons
Nous récompensons les découvertes qui représentent de vrais risques de sécurité. Les récompenses sont plus élevées pour les problèmes critiques :
- Accès non autorisé aux données d'autres utilisateurs (confirmer simplement l'existence d'un compte ne suffit pas).
- Contournement des contrôles de sécurité API (par ex. contournement de limite de débit, contournement d'authentification).
- Vulnérabilités de cross-site scripting (XSS).
- Exécution de code à distance sur nos serveurs.
- Injection SQL ou autres attaques par injection.
- Failles d'authentification ou de gestion de session.
Nous récompensons uniquement les vulnérabilités de sécurité susceptibles de nuire aux utilisateurs ou à leurs données, pas les bugs cosmétiques ou les fonctionnalités défaillantes.
Exclusions
Ce que nous ne rémunérons pas
- Attaques par déni de service (DoS/DDoS) ou tentatives de force brute.
- Problèmes de contenu mixte ou de configuration SSL.
- Ingénierie sociale ou attaques par hameçonnage.
- Vulnérabilités théoriques sans preuve de concept fonctionnelle.
- En-têtes de sécurité manquants ou paramètres de durcissement standard (par ex. politique de mot de passe, vérification e-mail).
- Vulnérabilités dans des services ou dépendances tiers hors de notre contrôle.
Récompenses
Comment nous payons
Plus la vulnérabilité est critique, plus la récompense est élevée. Il n'y a pas de plafond fixe. Si vous trouvez quelque chose de particulièrement grave ou ingénieux, nous vous récompenserons en conséquence. Les montants sont déterminés en fonction de l'impact potentiel de la vulnérabilité. Les paiements sont effectués en USD via PayPal une fois la vulnérabilité vérifiée et corrigée. Les frais PayPal standard s'appliquent.
Signalement
Comment signaler
01
Soumettre
Soumettez votre rapport sur webapi.group/bug-bounty avec une description détaillée et une preuve de concept.
02
Examen
Notre équipe sécurité examinera votre rapport et répondra sous 7 jours ouvrés.
03
Résolution
Nous travaillons sur un correctif. Nous pouvons vous contacter pour des précisions.
04
Récompense
Une fois la vulnérabilité vérifiée et corrigée, nous traitons votre récompense en USD via PayPal.
Signaler une vulnérabilité
Les rapports de vulnérabilité sont soumis sur la page bug bounty de WebAPI Group. Rendez-vous sur webapi.group/bug-bounty pour déposer votre rapport avec un maximum de détails, y compris les étapes de reproduction, l'évaluation de l'impact et toute preuve de concept.