Programme de divulgation des vulnérabilités
LiveAgent vise à garantir la sécurité de son service pour tous, et la sécurité des données est d’une importance capitale. Notre Programme de Divulgation des Vulnérabilités a pour objectif de minimiser l’impact que pourraient avoir d’éventuelles failles de sécurité sur nos outils ou leurs utilisateurs. Le Programme de Divulgation des Vulnérabilités de LiveAgent couvre les logiciels partiellement ou principalement développés par Quality Unit.
Si vous êtes un chercheur en sécurité et que vous avez découvert une vulnérabilité dans le Service, nous vous remercions de bien vouloir nous en informer de manière confidentielle afin de nous donner l’opportunité de la corriger avant la publication de détails techniques.
LiveAgent collaborera avec les chercheurs en sécurité lorsque des vulnérabilités seront signalées comme décrit ici. Nous validerons, répondrons et corrigerons les vulnérabilités dans le cadre de notre engagement en faveur de la sécurité et de la confidentialité. Nous n’engagerons aucune action en justice, ne suspendrons ni ne résilierons l’accès au Service des personnes découvrant et signalant de manière responsable des vulnérabilités de sécurité. LiveAgent se réserve tous ses droits légaux en cas de non-respect.
Signalement
Partagez les détails de toute vulnérabilité présumée avec l’équipe de développement LiveAgent à l’adresse support@liveagent.com . Merci de ne pas divulguer publiquement ces informations en dehors de ce processus sans autorisation explicite.
Lors du signalement de toute vulnérabilité présumée, veuillez inclure autant d’informations que possible. Si vous souhaitez soumettre plusieurs rapports en même temps, veuillez n’envoyer qu’un seul rapport (le plus important si possible) et attendre une réponse.
Compensation
Nous sommes heureux d’offrir une récompense pour toute information sur une vulnérabilité qui nous aide à protéger nos clients, en remerciement aux chercheurs en sécurité qui choisissent de participer à notre programme bug bounty. La récompense standard est de 100 $ par vulnérabilité soumise et vérifiée par notre équipe de développement.
Nous ne récompenserons que le premier signalement d’une vulnérabilité. Les rapports en double ne seront pas récompensés.
Périmètre
Vous ne pouvez tester que sur un compte LiveAgent dont vous êtes le Propriétaire ou un Agent autorisé par le Propriétaire à effectuer de tels tests. Par exemple :
- votredomaine.ladesk.com
Types de vulnérabilités récompensées
Nous vous récompenserons pour les types de vulnérabilités suivants :
- Exécution de commandes à distance (RCE)
- Injection SQL
- Authentification défaillante
- Gestion de session défaillante
- Contournement du contrôle d’accès
- Cross-Site Scripting (XSS)
- Cross-Site Request Forgery (CSRF)
- Redirection d’URL ouverte
- Traversée de répertoire
Remarque : Les rapports indiquant qu’un attaquant ne peut menacer que son propre compte avec le rôle Administrateur ne donneront pas droit à une récompense. Les XSS causés par un Administrateur ne seront pas récompensés non plus.
Pour être éligible, la vulnérabilité doit exister dans la dernière version publique (y compris les bêtas officielles publiées) du logiciel. Seules les vulnérabilités de sécurité seront éligibles. Nous apprécierions que les autres bugs soient signalés via les canaux appropriés, mais puisque l’objectif de ce programme est de corriger les failles de sécurité, seuls les bugs menant à des vulnérabilités de sécurité seront récompensés. Les autres bugs seront acceptés à notre discrétion.
Directives
Veuillez respecter les directives suivantes afin d’être éligible à une récompense dans le cadre de ce programme de divulgation :
- Ne modifiez ni ne supprimez de façon permanente les données hébergées par LiveAgent.
- N’accédez pas intentionnellement à des données non publiques de LiveAgent au-delà de ce qui est nécessaire pour démontrer la vulnérabilité.
- Ne réalisez pas d’attaque DDoS ni ne perturbez, interrompez ou dégradez nos services internes ou externes.
- Ne partagez pas d’informations confidentielles obtenues via LiveAgent, y compris mais sans s’y limiter les informations de paiement de membres ou donateurs, avec un tiers.
- L’ingénierie sociale est hors périmètre. N’envoyez pas de courriels de phishing et n’utilisez pas d’autres techniques d’ingénierie sociale à l’encontre de quiconque, y compris le personnel de QualityUnit, les membres, les fournisseurs ou les partenaires.
Par ailleurs, merci de nous accorder au moins 90 jours pour corriger la vulnérabilité avant d’en discuter ou d’en publier le contenu publiquement. Notre équipe estime que les chercheurs en sécurité ont le droit de rendre compte de leurs recherches et que la divulgation est très bénéfique, tout en comprenant qu’il s’agit d’une question hautement subjective de savoir quand et comment retenir certains détails pour limiter le risque d’exploitation abusive. Si vous estimez qu’une divulgation anticipée est nécessaire, veuillez nous en informer afin que nous puissions en discuter.
Journal des modifications
Nous informons publiquement de toutes les failles de sécurité corrigées via notre journal des modifications . Les problèmes liés à la sécurité sont marqués avec le tag [Security].
