Politique en brouillon
Cette politique a été rédigée pour examen et n’est pas encore en vigueur. Jusqu’à sa publication, les Conditions d’utilisation s’appliquent.
01Notre engagement
Les marchands comptent sur PapelShip pour encaisser leurs paiements et sur qPapel pour protéger leurs logiciels. Nous accueillons favorablement les signalements des chercheurs qui découvrent des problèmes de sécurité et souhaitent nous aider à les corriger.
02Périmètre
Dans le périmètre
- papelship.com et le tableau de bord PapelShip.
- Les pages de paiement hébergées et les boutiques sur mypapel.com.
- L’API PapelShip, les webhooks et les serveurs d’authentification qPapel.
- Les SDK qPapel pour C++ et C#.
Hors périmètre
- Le déni de service, les tests de charge ou toute tentative de dégradation de la disponibilité.
- L’ingénierie sociale, l’hameçonnage ou les attaques physiques visant le personnel ou les locaux.
- Les contenus, le code ou la configuration contrôlés par les marchands.
- Les services tiers que nous utilisons, dont les failles doivent être signalées à leurs propriétaires respectifs.
- Les constats sans impact démontré sur la sécurité, tels que l’absence d’en-têtes sur des pages statiques.
03Comment signaler
Écrivez à [email protected] en indiquant « Security report » en objet. Veuillez préciser :
- une description du problème et de son impact potentiel ;
- l’URL, le point de terminaison, la version du SDK ou le composant concerné ;
- les étapes permettant de reproduire le problème et, si possible, une preuve de concept ;
- la manière dont vous souhaitez être mentionné, le cas échéant.
04Règles d’intervention
- N’effectuez vos tests que sur des comptes et des boutiques dont vous êtes propriétaire, ou avec une autorisation explicite.
- N’accédez pas aux données d’autres utilisateurs et ne les modifiez ni ne les supprimez ; si vous y accédez, interrompez vos tests et signalez-le immédiatement.
- N’exploitez pas une découverte pour contourner la protection qPapel d’un autre marchand ou pour obtenir des licences.
- N’exécutez pas d’analyses automatisées générant un trafic important.
- Gardez les détails confidentiels jusqu’à ce que nous ayons confirmé la mise en place d’un correctif.
05Recherche de bonne foi
Si vous respectez la présente politique, agissez de bonne foi et nous laissez un délai raisonnable pour répondre, nous n’engagerons aucune action en justice à votre encontre au titre de vos recherches et nous travaillerons avec vous pour comprendre et résoudre le problème.
06À quoi vous attendre
Nous accuserons réception de votre signalement, vous tiendrons informé tout au long de notre enquête et vous préviendrons lorsque le problème aura été résolu. Nous ne proposons pas, à ce jour, de programme de bug bounty rémunéré.