Dans la portée
- genetixbay.com, genetixbay.ca et leurs sous-domaines ;
- l'application GenetixBay, dès son ouverture ;
- nos courriels (par exemple, une usurpation qui contourne nos vérifications d'expéditeur) ;
- le micrologiciel et les applications Jardin, dès leur sortie.
Les services que nous utilisons, comme Cloudflare ou notre fournisseur de courriel, ont leurs propres programmes ; veuillez leur signaler directement les problèmes qui les concernent.
Comment signaler
Écrivez à security@genetixbay.com en indiquant :
- ce que vous avez trouvé et où (l'adresse, la page ou la fonctionnalité) ;
- les étapes pour le reproduire, et une preuve de concept si vous en avez une ;
- ce qu'un attaquant pourrait en faire ;
- si vous souhaitez que votre contribution soit soulignée, et de quelle façon.
[OWNER : publish an encryption key for security reports, if wanted.] Tant que l'adresse security@genetixbay.com n'est pas activée, écrivez à hello@genetixbay.com avec « Sécurité » dans l'objet.
Règles pour les tests
- N'utilisez que des comptes et des données qui vous appartiennent. N'accédez jamais aux données d'autres personnes, ne les modifiez pas et ne les supprimez pas ; si vous y accédez par accident, arrêtez, avisez-nous et ne les conservez pas.
- Aucun déni de service, aucune inondation, aucun pourriel, ni rien qui dégrade le service pour les autres.
- Aucune ingénierie sociale, aucun hameçonnage ni aucune attaque physique contre notre personnel, nos bureaux ou notre équipement.
- Gardez le problème confidentiel jusqu'à ce que nous l'ayons corrigé, ou pendant 90 jours, selon la première éventualité, sauf entente contraire.
Ce que nous promettons
- Nous visons à accuser réception de votre signalement dans un délai de 3 jours ouvrables et à vous tenir au courant.
- Nous vous dirons quand le problème sera corrigé, et nous soulignerons votre contribution si vous le souhaitez.
- Si vous agissez de bonne foi et respectez ces règles, nous n'intenterons pas de poursuites contre vous, et nous considérerons votre recherche comme autorisée. [COUNSEL : safe-harbour wording.]
Nous n'avons pas encore de programme de primes aux bogues rémunéré. [OWNER : thank-you reward, if any, such as Pearls or merch.]
Habituellement hors portée
- les rapports de scanneurs automatisés sans impact démontré ;
- les en-têtes de sécurité ou attributs de témoins manquants sans effet réel ;
- le détournement de clic (clickjacking) sur des pages sans actions sensibles ;
- les limites de débit sur des pages non sensibles ;
- les suggestions d'enregistrements d'authentification de courriel (SPF, DKIM, DMARC) sans usurpation fonctionnelle.
security.txt
Notre fichier de contact lisible par machine se trouve à /.well-known/security.txt.