Divulgation responsable

SSL

Divulgation responsable

Nos clients nous font confiance pour assurer la sécurité et la confidentialité de leurs données. Nous prenons la sécurité très au sérieux et nous nous efforçons sans relâche de faire en sorte que cette confiance soit justifiée. Vous souhaitez nous signaler un problème ? N’hésitez pas à nous contacter à l’adresse security@groupmap.com

Divulgation responsable

Nous encourageons toutes les personnes qui pratiquent la divulgation responsable et respectent nos politiques et nos conditions d’utilisation à participer à notre programme de signalement des vulnérabilités. Veuillez éviter les tests automatisés et n’effectuer des tests de sécurité qu’avec vos propres données. Veuillez ne divulguer aucune information concernant les vulnérabilités tant que nous ne les avons pas corrigées. Nous pouvons, à notre entière discrétion, offrir une reconnaissance pour les rapports de grande qualité et ayant un impact significatif qui mettent en évidence un risque de sécurité réel.

Vous pouvez signaler des vulnérabilités en contactant security@groupmap.com. Veuillez joindre une preuve de concept. Nous répondrons dans les plus brefs délais à votre signalement et n’engagerons aucune poursuite judiciaire si vous respectez les règles.

Contenu :

• secure.teamretro.com

Exclusions :

• *.eu.teamretro.com
• ww1.teamretro.com
• ww2.teamretro.com
• ww3.teamretro.com
• www.teamretro.com
• at.teamretro.com
• help.teamretro.com
• feedback.teamretro.com
• mail.teamretro.com
• status.teamretro.com
• track.teamretro.com
• games.teamretro.com
• planning-poker.teamretro.com
• www-assets.teamretro.com

Les vulnérabilités acceptées sont les suivantes :

• Cross-Site Scripting (XSS)
• Redirection ouverte
• Falsification de requêtes intersites (CSRF)
• Inclusion de commandes, de fichiers ou d’URL
• Problèmes d’authentification
• Exécution de code
• Injections de code ou de base de données

Ce programme de signalement des vulnérabilités n’inclut PAS :

• Énumération des comptes et des adresses e-mail
• Déni de service (DoS)
• Attaques susceptibles de nuire à la fiabilité ou à l’intégrité de notre activité
• Attaques de spam
• Clickjacking sur des pages sans authentification et/ou présentant des changements d’état sensibles
• Avertissements relatifs au contenu mixte
• Absence de DNSSEC
• Usurpation de contenu / injection de texte
• Attaques par temporisation
• Ingénierie sociale
• Hameçonnage
• Cookies non sécurisés pour les cookies non sensibles ou les cookies tiers
• Vulnérabilités nécessitant une interaction de l’utilisateur extrêmement improbable
• Exploits nécessitant un accès physique à l’ordinateur d’un utilisateur
• En-têtes de sécurité manquants qui n’entraînent pas directement de vulnérabilité
• Absence de bonnes pratiques (nous exigeons la preuve d’une faille de sécurité)
• Rapports générés par des outils d’analyse automatisés dont l’impact n’a pas été démontré
• Absence d’en-têtes de sécurité sans preuve d’exploitation
• Problèmes de configuration SSL/TLS sans preuve d’exploitation avérée
• Absence de limitation de débit
• Self-XSS (nécessite que la victime colle le code dans sa propre console)
• Connexion/déconnexion CSRF
• Vulnérabilités nécessitant l’utilisation de navigateurs obsolètes ou dont le support a pris fin
• Signalements en double ou problèmes déjà connus

Conditions de soumission

Tous les rapports doivent comporter les éléments suivants, faute de quoi ils ne seront pas examinés :

• URL ou point de terminaison concerné(e)
• Instructions détaillées pour la reproduction
• Démonstration de faisabilité (captures d’écran, vidéo ou code)
• Description de l’impact sur la sécurité

Les analyses automatisées ne sont pas autorisées sans accord écrit préalable. Tous les tests doivent être effectués manuellement et toutes les informations relatives au programme de signalement des vulnérabilités doivent rester confidentielles.

Nous tenons à remercier les chercheurs en sécurité suivants :

• Abin Joseph
• daniel_v
• Ananda Dhakal
• Luiz Viana
• Aman Gupta
• Vipul Sahu
• Hsu Myat Noe
• Tomasz Bartoszewski
• Harry Gertos
• Sathwik Veeramaneni
• Yassine Nafiai
• SIDN SOC
• Burhan Chhotaudepur
• Faizan Nehal
• Aaditya Kumar Sharma
• Syed Ahsan Raza
• Mohammed Eldawody
• Yaniv Shoshani
• Lucas Werkmeister
• Ankit Rathva