Politique de divulgation des vulnérabilités

Huro Data Technologies Ltd. (« nous ») prend au sérieux la sécurité de MyDomainRisk et de ses utilisateurs. Nous accueillons favorablement les signalements des chercheurs en sécurité qui découvrent des vulnérabilités dans nos systèmes. Nous nous engageons à travailler avec vous pour comprendre et traiter rapidement tout problème.

La présente politique s'applique aux systèmes suivants :

• mydomainrisk.com (site commercial)
• security.mydomainrisk.com (application)
• Tout sous-domaine ou point de terminaison d'API exploité par Huro Data Technologies Ltd.

Les services tiers et les fournisseurs d'infrastructure utilisés par MyDomainRisk sont hors périmètre. Veuillez signaler les vulnérabilités de ces services directement à leurs propriétaires respectifs.

Veuillez envoyer vos signalements de vulnérabilité à support@mydomainrisk.com avec l'objet Security Vulnerability Report. Veuillez inclure :

• Une description de la vulnérabilité et de son impact potentiel
• Les étapes permettant de reproduire le problème
• Tout code de preuve de concept, toute capture d'écran ou tout élément à l'appui
• Vos coordonnées si vous souhaitez que nous vous recontactions

Nous nous efforçons de :

• Accuser réception de votre signalement sous 3 jours ouvrés
• Fournir une première évaluation de la gravité et un calendrier de résolution prévisionnel sous 10 jours ouvrés
• Vous tenir informé de l'avancement de nos travaux pour traiter le problème
• Vous informer lorsque la vulnérabilité a été corrigée

Nous vous demandons de :

• Nous laisser un délai raisonnable pour enquêter et corriger avant toute divulgation publique
• Éviter d'accéder aux données appartenant à d'autres utilisateurs, de les modifier ou de les supprimer
• Ne pas mener d'attaques par déni de service ni perturber nos services
• Ne pas utiliser de scanners ou d'outils automatisés contre notre infrastructure sans accord préalable
• Agir de bonne foi tout au long de la démarche

Nous n'engagerons pas de poursuites judiciaires contre les chercheurs qui respectent la présente politique et agissent de bonne foi.

Nous ne proposons pas actuellement de programme de bug bounty rémunéré. Nous sommes toutefois reconnaissants envers les chercheurs qui signalent des vulnérabilités avérées et nous serons heureux de saluer publiquement votre contribution si vous le souhaitez.

Pour toute question concernant la présente politique, veuillez nous contacter à l'adresse support@mydomainrisk.com.