Skip to content
Absenca

Politique de divulgation des vulnérabilités

Nous accueillons volontiers les signalements des chercheurs en sécurité. Si vous pensez avoir trouvé une vulnérabilité dans Absenca, signalez-la-nous en suivant cette politique.

Périmètre

Dans le périmètre : absenca.com, app.absenca.com, api.absenca.com, et les applications Absenca pour Slack, Microsoft Teams et Google Chat.

  • Hors périmètre : les services exploités par d'autres sociétés, comme notre hébergeur, Stripe, Slack, Microsoft et Google. Signalez-leur directement.
  • Hors périmètre : déni de service, spam, ingénierie sociale et attaques physiques.
  • Hors périmètre : les rapports de scanners automatisés et les paramètres de bonnes pratiques manquants, sans impact de sécurité démontré.

Comment signaler

Écrivez à security@absenca.com en décrivant le problème, les étapes pour le reproduire, son impact et comment vous joindre. L'anglais est préféré.

Règles de test

  • Testez uniquement avec des comptes et organisations que vous avez créés vous-même.
  • N'accédez pas aux données d'autrui, ne les modifiez ni ne les supprimez. Si vous y accédez par accident, arrêtez, ne les conservez pas et prévenez-nous.
  • N'effectuez pas de tests de déni de service ni de tests automatisés à fort volume.
  • Gardez le problème confidentiel jusqu'à sa correction, ou pendant 90 jours après votre signalement, selon ce qui arrive en premier, sauf accord contraire.

Protection des chercheurs

Si vous agissez de bonne foi et respectez cette politique, nous considérons votre recherche comme autorisée, et nous n'engagerons aucune action en justice contre vous ni ne demanderons à quiconque de le faire. Si un tiers agit contre vous au sujet d'une recherche conforme à cette politique, nous ferons savoir que vous avez agi dans son cadre.

Ce que vous pouvez attendre de nous

  • Un accusé de réception sous 3 jours ouvrés.
  • Une première évaluation sous 10 jours ouvrés.
  • Une correction aussi rapide que possible : nous visons 30 jours pour les problèmes critiques et 90 jours pour les autres, et nous vous tenons informé.
  • Des remerciements publics, si vous le souhaitez, une fois le problème corrigé.

Pas de prime

Nous n'avons pas de programme de bug bounty rémunéré et ne pouvons pas payer les signalements.