Chez ActorDo, nous nous engageons à maintenir le plus haut niveau de sécurité, d’intégrité et de confiance pour nos utilisateurs, nos partenaires et nos systèmes.

En savoir plus sur Actor Sécurité des données et Politique de confidentialité

Notre programme de divulgation des vulnérabilités (VDP) vise à offrir aux chercheurs en sécurité, aux hackers éthiques et à la communauté un moyen clair, sûr et responsable de signaler les vulnérabilités de sécurité dans nos produits et services.

Ce programme encourage la coopération et la divulgation responsable, afin de nous permettre de repérer, de corriger et de réduire les risques avant qu’ils puissent être exploités.

Périmètre

Les systèmes et actifs concernés incluent (sans s’y limiter strictement) :

  • Applications web et API d’ActorDo
  • Services backend, microservices et infrastructure cloud
  • Systèmes internes, sous réserve d’une autorisation préalable (voir les coordonnées)

Les systèmes et actifs exclus du périmètre incluent:

  • Services, intégrations ou dépendances tiers qui n’ont pas été développés par ActorDo
  • Attaques physiques / matériel (p. ex., centres de données, appareils, sauf autorisation explicite)
  • Ingénierie sociale, hameçonnage ou usurpation d’identité (sauf autorisation écrite explicite)
  • Bugs sans incidence sur la sécurité ou demandes de fonctionnalités
  • Tout test susceptible d’entraîner une interruption de service ou un déni de service

Pour être admissible, la vulnérabilité doit :

  • Être présent dans la dernière version publiée au public (ou version bêta officiellement publiée)
  • Entraîner un impact sur la sécurité (p. ex., fuite de données, élévation de privilèges, exécution de code à distance, contournement des contrôles)

Règles et consignes de participation

Lorsque vous participez, veuillez respecter les règles suivantes pour pouvoir prétendre à une reconnaissance ou à des récompenses :

  1. Ne causez aucun préjudice
    • Ne supprimez ni ne modifiez aucune donnée et ne perturbez pas le fonctionnement normal.
    • Évitez toute action perturbatrice (p. ex., lancer des attaques DDoS ou dégrader le service).
  2. Limitez vos tests
    • Ne tentez pas d’accéder à des données non publiques ni de les manipuler au-delà de ce qui est strictement nécessaire pour démontrer la vulnérabilité.
    • Dans la mesure du possible, utilisez un environnement de test ou un compte hors production.
  3. Confidentialité
    • Ne divulguez pas publiquement vos découvertes (blogs, réseaux sociaux, etc.) avant qu’ActorDo ait eu un délai raisonnable pour répondre et corriger le problème (voir « Délai de divulgation »).
    • Ne communiquez pas ces informations à des tiers et ne les leur vendez pas.
  4. Pas d’ingénierie sociale
    • L’hameçonnage, l’usurpation d’identité ou les techniques similaires sont hors périmètre, sauf autorisation explicite.
  5. Respectez la vie privée et les contraintes juridiques
    • Ne contrevenez pas aux lois sur la protection de la vie privée et n’accédez pas à des données personnelles sensibles au-delà de ce qui est nécessaire pour démontrer la faille.
    • Respectez les lois et réglementations locales applicables ainsi que les bonnes pratiques.
  6. Divulgation et coordination
    • Laissez-nous le temps de corriger le problème (généralement 90 jours) avant toute divulgation publique, sauf accord contraire.
    • Si vous estimez qu’une divulgation plus rapide est justifiée (par exemple, en cas de risque d’exploitation), veuillez nous en informer afin que nous puissions convenir d’un délai plus court.

Le non-respect de ces règles (par exemple, des actions destructrices ou une divulgation publique sans coordination) peut rendre une soumission inadmissible à une récompense ou à une reconnaissance publique.

Signaler une vulnérabilité

Informations à inclure dans votre signalement

Envoyez votre signalement à alex@actordo.com et incluez :

  • Une brève description du problème
  • Étapes pour reproduire le problème ou preuve de concept
  • Système ou URL concerné
  • (Facultatif) votre nom ou pseudonyme pour être crédité

Nous accuserons réception de votre signalement sous 5 jours ouvrés et vous tiendrons au courant de l’avancement de la correction. Tous les signalements ne feront pas l’objet d’un accusé de réception s’ils ne sont pas jugés valides.

Dans votre signalement, veuillez préciser si vous souhaitez rester anonyme ou être cité publiquement.

Reconnaissance et récompenses

  • Nous pouvons offrir des récompenses de remerciement ou une reconnaissance publique en fonction de l’impact et de la clarté du signalement.
  • Les récompenses sont attribuées à notre discrétion et dépendent de la gravité du problème et de la qualité du signalement.
  • Les signalements en double ou concernant des problèmes à faible impact peuvent ne pas être admissibles.

Clause de protection juridique

Si vous respectez cette politique de bonne foi, vous bénéficiez d’une protection contre toute action en justice liée à vos recherches.

Merci de nous aider à assurer la sécurité d’ActorDo.