Signaler une faille de sécurité

Si vous avez découvert une faille de sécurité sur le site d’ImarkGB, nous vous invitons à nous contacter sans délai. Nous examinons tous les signalements sérieux et nous nous efforçons de corriger rapidement les problèmes. Avant tout signalement, merci de lire ce document, qui présente nos principes, notre programme de récompenses (bug bounty), nos règles d’attribution des récompenses et les problèmes non éligibles.

Principes

Si vous respectez les principes ci-dessous lorsque vous signalez un problème de sécurité à ImarkGB, nous n’engagerons aucune poursuite judiciaire ni aucune enquête à votre encontre en raison de votre signalement.

Nous vous demandons :

• de nous laisser un délai raisonnable pour examiner et corriger le problème avant de le rendre public ou de le communiquer à des tiers ;
• de ne pas accéder à des comptes privés ni interagir avec eux sans l’accord de leur titulaire ;
• de faire de bonne foi tout votre possible pour éviter les atteintes à la vie privée, les interruptions de service et les pertes de données ;
• de n’exploiter le problème pour aucune raison, y compris pour démontrer des risques supplémentaires ou accéder à des données sensibles ;
• de respecter l’ensemble des lois et réglementations applicables.

Programme de récompenses

Nous remercions et récompensons les chercheurs en sécurité qui contribuent à protéger notre plateforme en nous signalant des vulnérabilités. Les récompenses sont attribuées à la discrétion d’ImarkGB, en fonction du risque, de l’impact et de la qualité du signalement.

Pour pouvoir prétendre à une récompense, vous devez :

• respecter les principes énoncés ci-dessus ;
• signaler une faille de sécurité réelle présentant un risque pour la protection des données ou la sécurité ;
• envoyer votre signalement par e-mail à support@ImarkGB.com, sans contacter directement les membres de notre équipe ;
• mentionner dans votre signalement toute atteinte involontaire à la vie privée ou toute perturbation causée ;
• comprendre que, si nous examinons tous les signalements valides, leur traitement est priorisé en fonction du risque, et qu’une réponse peut donc prendre un certain temps ;
• accepter que nous nous réservions le droit de publier les signalements reçus.

Récompenses

Le montant des récompenses dépend de l’impact et de la gravité de la vulnérabilité. Merci d’indiquer dans votre signalement des étapes détaillées permettant de reproduire le problème. Si le problème ne peut pas être reproduit, aucune récompense ne pourra être attribuée.

Seul le premier signalement valide d’un problème donne droit à une récompense.

Plusieurs failles résultant d’une même cause sont traitées comme un seul signalement.

Nous évaluons les récompenses en fonction de l’impact, de l’exploitabilité et de la qualité du signalement.

Montants maximaux actuels selon le niveau de gravité :

Gravité critique – 200 €

Comprend les problèmes graves tels que :

• exécution de code à distance (RCE) ;
• obtention d’un shell ou exécution de commandes à distance ;
• contournement vertical de l’authentification ;
• injection SQL avec extraction de données ciblées ;
• prise de contrôle complète d’un compte.

Gravité élevée – 100 €

Comprend les problèmes tels que :

• contournement horizontal de l’authentification ;
• divulgation de données internes sensibles ;
• XSS stocké affectant d’autres utilisateurs ;
• inclusion de fichiers locaux (LFI) ;
• gestion non sécurisée des cookies d’authentification.

Gravité moyenne – 50 €

Exemples :

• failles de logique ou de processus métier ;
• références directes non sécurisées à des objets (IDOR).

Gravité faible – remerciements uniquement

Exemples :

• redirections ouvertes (open redirects) ;
• XSS réfléchi ;
• fuites d’informations peu sensibles.

Coordonnées

ImarkGB
E-mail : support@ImarkGB.com