Signaler une vulnérabilité
Si vous avez découvert un problème de sécurité dans Virtik, nous voulons en être informés — et nous préférons l'apprendre de vous plutôt que de le lire ailleurs plus tard.
Signaler une vulnérabilitéLe signalement emprunte le circuit sécurité, et non l'assistance générale : il n'est donc pas mis en file derrière des questions de facturation.
Ce qu'il faut inclure
Ce qui rend un signalement exploitable
Un signalement que nous pouvons reproduire est corrigé. Un signalement que nous ne pouvons pas reproduire donne d'abord lieu à un aller-retour de questions.
- Assez de détails pour reproduire le problème — étapes, requête et réponse, et le compte ou le contexte de locataire utilisé.
- La surface concernée : www.virtik.ai, app.virtik.ai, la surface mobile ou un point de terminaison d'API.
- L'impact que vous estimez, et si vous avez pu le confirmer.
- Si des données clients étaient accessibles, et quelle quantité vous avez dû consulter pour démontrer la découverte.
Recherche de bonne foi
Ce que nous vous demandons
Une recherche menée dans ces limites est une recherche pour laquelle nous n'engagerons aucune action.
- Respectez la vie privée des utilisateurs — n'accédez qu'à ce qui est nécessaire pour démontrer la découverte, et arrêtez-vous là.
- Ne dégradez pas le service. Pas de déni de service, pas d'analyse automatisée massive contre la production.
- N'accédez pas, ne modifiez pas, n'exfiltrez pas et ne conservez pas de données appartenant à une autre organisation.
- Laissez-nous une possibilité raisonnable de corriger avant toute divulgation publique.
Ce à quoi nous nous engageons
Nous accuserons réception de votre signalement, l'analyserons et vous dirons ce que nous avons constaté — y compris si nous concluons qu'il ne s'agit pas d'une vulnérabilité, et pourquoi.
Nous ne publions pas d'objectif de délai de réponse, car nous ne disposons pas encore de l'astreinte permettant de le garantir. S'engager sur un chiffre que nous pourrions manquer serait une mauvaise première interaction avec précisément les personnes les plus susceptibles de le remarquer.
Une politique de divulgation formelle et un flux d'avis de sécurité sont prévus dans le cadre du Trust Center. En attendant, cette page et le circuit de contact sécurité constituent le processus.
Il ne s'agit pas d'un signalement de vulnérabilité ?
Les questions de sécurité pendant une évaluation, les demandes de revue d'architecture et les demandes de documentation passent plutôt par le circuit de revue de sécurité.