Politique de Divulgation Responsable

Les informations de cette page sont destinées aux chercheurs en sécurité qui souhaitent informer l'équipe AKAOMA de l'existence de failles de sécurité.

Si vous pensez que vous avez découvert une faille de sécurité dans une propriété, un site Web ou une application proposée par AKAOMA, nous vous encourageons vivement à le signaler le plus vite possible et à ne pas révéler la faille au public jusqu'à ce qu'elle soit corrigée. Nous apprécions votre aide et nous examinons tous les rapports en nous efforçant de résoudre les vulnérabilités au plus vite. Afin d'encourager la divulgation responsable, AKAOMA ne vous intentera aucun procès et ne demandera à aucun organisme chargé de l'application de la loi d'enquêter sur vous si nous estimons la divulgation conforme aux instructions suivantes.

1. Informez AKAOMA et fournissez-nous les détails de la faille de sécurité. Accordez-nous un délai raisonnable pour corriger la vulnérabilité avant de la révéler au public.

2. Fournissez assez de détails sur la faille de sécurité pour nous permettre d'identifier et de reproduire le problème. Ces détails doivent inclure les URL cibles, les paires de requêtes/réponses, les captures d'écran et toute autre information.

3. Nous confirmerons votre adresse e-mail et nous évaluerons la validité et la reproductibilité du problème. Nous nous efforcerons de résoudre les problèmes valides et nous vous tiendrons informé de l'avancement.

4. Faites votre possible pour éviter la perturbation du service (par exemple, les dénis de service), les failles de confidentialité (c'est-à-dire l'accès aux données d'un client AKAOMA) et la destruction de données lorsque vous recherchez les vulnérabilités.

5. Ne demandez pas de compensation pour les rapports de failles de sécurité, à AKAOMA ou sur un marché externe de failles de sécurité.

6. Ne pratiquez pas le hameçonnage ou le piratage psychologique à l'encontre des employés ou des clients de AKAOMA.

7. N'exécutez pas d'outil d'analyse automatique pour nous envoyer les résultats sans avoir confirmé la présence du problème. Les outils de sécurité renvoient souvent des faux positifs qui doivent être confirmés par le rapporteur.

Nous sommes principalement intéressés par les catégories de failles de sécurité suivantes :

1. Cross-Site Scripting (XSS)

2. Falsification de requête intersite (CSRF)

3. Problèmes d'authentification

4. Problèmes d'autorisation

5. Compromission de données

6. Attaques de redirection

7. Exécution de code à distance

8. Techniques d'exploitation de failles particulièrement difficiles ou problèmes uniques qui n'entrent dans aucune catégorie explicite

Les catégories de failles de sécurité suivantes sont considérées comme hors du cadre de notre programme de divulgation responsable et leurs rapporteurs ne pourront pas être inclus dans notre liste de chercheurs pour la divulgation de ces failles.

1. Failles du protocole de sécurité SSL liées à la configuration ou à la version

2. Déni de service (DoS)

3. Énumération des utilisateurs

4. Attaques par force brute

5. Indicateur sécurisé non défini sur des cookies non sensibles

6. Indicateur HTTPOnly non défini sur des cookies non sensibles

7. Déconnexion par falsification de requête intersite (CSRF)

8. Problèmes présents uniquement sur les navigateurs, plug-ins ou logiciels de navigation anciens ou en fin de vie

9. Méthode HTTP TRACE activée

10. Rapports de failles de sécurité liés aux numéros de version déclarés des serveurs, des services ou des frameworks Web

11. Détournement de clic (clickjacking) sur des pages sans authentification et/ou changement d'état sensibleb

12. Rapports de failles de sécurité qui demandent à des utilisateurs une coopération considérable afin de reproduire des actions improbables ou excessives qui seraient plus symptomatiques d'une ingénierie sociale ou d'une attaque de hameçonnage que d'une faille de sécurité dans l'application (par exemple, désactiver des fonctions de sécurité du navigateur, envoyer des informations critiques à l'attaquant afin qu'il puisse mener l'attaque, guider l'utilisateur le long d'un processus particulier et lui demander d'entrer un code malveillant lui-même, etc.)

Veuillez envoyer un e-mail à audit [at] akaoma.com pour signaler des failles de sécurité à AKAOMA. Vous pouvez également utiliser notre formulaire d'identification de failles de sécurité et vulnérabilités. Notre équipe vous recontactera dans les meilleurs délais dès analyse des éléments que vous nous aurez communiqué.

Aucun remontée significative communiquée à ce jour.