Divulgation responsable

Si vous croyez avoir trouvé une vulnérabilité touchant ce site ou son infrastructure publique, merci de prendre le temps de la signaler de façon responsable.

Cette page décrit la politique lisible par les humains derrière le fichier security.txt du site.

Portée#

Dans la portée:

• bhdicaire.com;
• www.bhdicaire.com, si présent;
• les fichiers publics lisibles par machine comme security.txt, robots.txt, humans.txt et llms.txt; et
• les problèmes de configuration du site pouvant toucher la confidentialité, l’intégrité ou la disponibilité.

Hors portée:

• les services tiers que je ne contrôle pas;
• l’ingénierie sociale;
• les attaques physiques;
• les essais de déni de service;
• les campagnes de pourriel, d’hameçonnage ou de bourrage d’identifiants; et
• les constats qui ne touchent que des navigateurs désuets ou des logiciels clients non pris en charge.

Règles d’engagement#

Veuillez:

• signaler l’enjeu rapidement;
• inclure assez de détails pour le reproduire ou le comprendre;
• éviter d’accéder à des données, de les modifier, de les supprimer ou de les exfiltrer;
• éviter la persistance, les déplacements latéraux et les essais destructifs;
• ne pas divulguer publiquement l’enjeu avant que j’aie eu une occasion raisonnable de répondre; et
• arrêter les essais si vous rencontrez des renseignements sensibles ou une instabilité du service.

Comment signaler#

Utilisez le canal indiqué dans /.well-known/security.txt . Si une communication chiffrée est utile, utilisez le lien de chiffrement indiqué dans ce fichier.

Incluez:

• l’URL ou le composant touché;
• le type de vulnérabilité;
• les étapes de reproduction;
• l’impact;
• des captures d’écran ou des détails de preuve de concept, si cela peut être partagé sans risque; et
• votre méthode de contact préférée.

À quoi s’attendre#

Je tenterai d’accuser réception des signalements de bonne foi dans un délai raisonnable et je pourrais poser des questions de clarification. Il s’agit d’un site personnel, pas d’un programme de primes doté d’une équipe dédiée; les délais de réponse peuvent donc varier.

Aucune prime monétaire n’est offerte, sauf entente écrite explicite avant les essais.

Zone de sécurité#

Je n’entamerai pas d’action juridique contre une recherche de sécurité menée de bonne foi qui respecte cette politique, évite les dommages et ne viole pas la vie privée ni la disponibilité du service. Cela n’autorise pas les essais contre des systèmes ou services tiers hors de mon contrôle.