Divulgation coordonnée des vulnérabilités
Coordinated Vulnerability Disclosure / VDP pour Password Depot
Objet de cette politique
AceBIT GmbH apprécie les signalements de vulnérabilités concernant Password Depot ainsi que les services web liés aux produits et relevant de la responsabilité d’AceBIT. Cette politique décrit comment les chercheurs en sécurité peuvent signaler des vulnérabilités potentielles, quelles règles s’appliquent à la recherche en sécurité et quels engagements AceBIT prend dans le cadre d’une divulgation coordonnée.
Les signalements peuvent être effectués en allemand ou en anglais.
Périmètre
- Password Depot Enterprise Server
- Client Windows Password Depot
- Client macOS Password Depot
- Client Linux Password Depot
- Extension de navigateur (Chrome, Edge, Firefox)
- Applications mobiles (iOS, Android)
- Services web liés aux produits sur password-depot.de
Y compris les composants tiers, dans la mesure où ils font partie des produits mentionnés.
Non couvert
- Environnements clients en production, installations spécifiques aux clients et autres systèmes tiers
- Services ou infrastructures exploités par des tiers qui ne font pas partie de Password Depot
- Ingénierie sociale, phishing, attaques physiques, spam, force brute, credential stuffing, scans de masse ou tests de déni de service
Safe Harbor
Si vous agissez de bonne foi, respectez cette politique, limitez vos tests au périmètre décrit ci-dessus et ne lisez, ne modifiez, ne supprimez ni n’exfiltrez aucune donnée, et ne perturbez aucun service, nous renoncerons – dans la mesure permise par la loi – à toute action civile liée à cette recherche en sécurité.
Dans la mesure où cela relève de notre sphère d’influence et est légalement autorisé, nous ne déposerons pas non plus de plainte pénale pour ce type de recherche en sécurité.
Cela ne s’applique pas aux actes en dehors du périmètre, aux tests visant des systèmes de clients ou d’autres tiers, aux violations de la protection des données, aux perturbations d’exploitation ou à toute autre infraction au droit applicable.
Nos attentes envers les chercheurs en sécurité
Communication chiffrée
Pour les détails techniques sensibles, veuillez utiliser la clé PGP publique de l’équipe sécurité de Password Depot. Veuillez vérifier l’empreinte de la clé téléchargée avant le chiffrement.
Également accessible via RFC 9116 (security.txt) sous /.well-known/security.txt.
Comment signaler une vulnérabilité
Envoyer un signalement
Veuillez envoyer votre signalement à :
security@password-depot.deVeuillez joindre les éléments suivants
- Produit, version, build et composant concernés
- Description de la vulnérabilité
- Étapes de reproduction / Proof of Concept
- Évaluation de l’impact et de la gravité
- Environnement de test, configuration et prérequis
- Coordonnées et, le cas échéant, souhait d’être mentionné nominativement
Confidentialité
Nous traitons votre signalement et, si vous le souhaitez, votre identité de manière confidentielle, dans la mesure permise par la loi. Nous ne publions votre nom qu’avec votre consentement préalable.
Vos informations ne sont transmises que dans la mesure nécessaire à la vérification, à la correction et à la divulgation coordonnée de la vulnérabilité, ou au respect d’obligations légales.
Ce qui se passe après votre signalement
Divulgation coordonnée et Security Advisories
Dès qu’une mise à jour de sécurité ou une autre mesure corrective efficace est disponible, nous publions généralement un Security Advisory pour les vulnérabilités confirmées.
Si une publication immédiate risquait de compromettre la sécurité de nos utilisateurs, nous pouvons en reporter la publication à une date appropriée.
Un Security Advisory contient au minimum
- Une description de la vulnérabilité
- Les produits et versions concernés
- Impact et niveau de gravité
- Des indications claires sur la correction ou l’atténuation
Remarque relative aux obligations légales de notification
Si un signalement indique une vulnérabilité activement exploitée ou un incident de sécurité grave, nous pouvons être légalement tenus de transmettre les informations techniques requises aux autorités compétentes, au CSIRT compétent et à ENISA, ainsi que d’informer les utilisateurs concernés.
Nous ne communiquons toutefois votre identité que dans la mesure où la loi l’exige.
Reconnaissance
Nous n’offrons actuellement aucune récompense financière ni aucun paiement de type bug bounty, sauf annonce expresse distincte.
Si vous le souhaitez, nous vous mentionnerons, après correction de la vulnérabilité, dans un Security Advisory ou dans des remerciements. Merci de nous l’indiquer lors de votre signalement.