Signaler un problème de sécurité

1 · Ce qui est couvert

castomo.com, le compte castomo sur accounts.castomo.com, le service des fiches de mission qui fait fonctionner le site, et chaque produit que Castomo P.S.A. y vend — ceux de la page des produits, que vous achetez chez nous, quel que soit celui qui les a construits. Si le problème se situe dans un produit construit par un partenaire, nous lui transmettons votre signalement et restons votre interlocuteur.

2 · Ce qu’il faut envoyer

• Où se trouve le problème : l’adresse, et le produit si vous le connaissez.
• Ce que vous avez fait, étape par étape, pour que nous puissions le reproduire.
• Ce que vous avez pu voir ou modifier, et pourquoi cela vous semble important.
• Comment vous joindre, si vous souhaitez connaître nos conclusions.

Un simple texte dans un e-mail suffit. Nous ne publions pas de clé de chiffrement : laissez donc de côté tout ce que vous ne voudriez pas voir lu en transit — indiquez qu’il y a davantage, et nous conviendrons avec vous de la manière de le recevoir.

3 · Ce que nous vous demandons

• Arrêtez-vous à la preuve. Dès que vous pouvez montrer que le problème existe, n’allez pas plus loin.
• Ne lisez, ne conservez, ne modifiez et ne supprimez les données de personne d’autre. Si vous en avez rencontré, dites-nous de quoi il s’agissait et supprimez votre copie.
• Ne ralentissez pas le service pour ceux qui l’utilisent : pas d’inondation de requêtes, pas d’analyses automatisées massives.
• Ne tentez rien auprès de nos équipes ou de nos clients — ni hameçonnage, ni usurpation d’identité.
• Laissez-nous le temps de corriger le problème avant de publier quoi que ce soit.

4 · Et ensuite

Votre message est lu par quelqu’un qui peut agir. Nous vérifions ce que vous décrivez, vous disons ce que nous avons trouvé, puis vous prévenons de nouveau une fois le problème corrigé. Nous ne publions pas de délai de réponse que nous ne pourrions pas tenir ; il n’y en a donc pas ici non plus.

Nous utilisons ce que vous envoyez uniquement pour vérifier et corriger le problème et pour vous répondre ; la politique de confidentialité explique comment.

Il n’y a pas de programme de bug bounty : nous ne payons pas les signalements, et un signalement qui commence par une demande de paiement reçoit la même réponse que n’importe quel autre.

Les mêmes informations, à l’intention des outils qui les recherchent, figurent dans /.well-known/security.txt.