Politique de divulgation des vulnérabilités

1. Comment effectuer un signalement

Envoyez un e-mail à [email protected] avec pour objet « Security report ». Les coordonnées lisibles par machine sont publiées à l’adresse /.well-known/security.txt.

Veuillez fournir suffisamment de détails pour que nous puissions reproduire le problème en toute sécurité : la version de l’application ou l’URL concernée, l’appareil et la version du système d’exploitation, les étapes que vous avez suivies, ce que vous avez observé et les raisons pour lesquelles vous estimez qu’il s’agit d’un problème de sécurité. Du code de preuve de concept, des journaux ou des enregistrements d’écran sont utiles, à condition qu’ils ne contiennent pas les données d’autres personnes.

N’incluez pas vos propres captures d’écran, le texte extrait, vos termes de recherche ou tout autre contenu privé, sauf si cela est réellement nécessaire pour démontrer le problème. Si un signalement nécessite des éléments sensibles, précisez-le d’abord et nous conviendrons d’une méthode pour les traiter.

2. Périmètre

Sont compris dans le périmètre :

• L’application KeepSift pour Android distribuée par Google Play.
• L’application KeepSift pour iOS en préparation pour sa sortie sur l’App Store, y compris les versions préliminaires.
• Ce site Web, keepsift.com.

KeepSift est une application qui privilégie le traitement local et qui ne comporte aucun compte, service backend, bibliothèque de captures d’écran dans le cloud ni télémétrie intégrée. La version Android ne déclare en outre aucune autorisation d’accès au réseau. Les vulnérabilités qui nous importent le plus concernent donc les données présentes sur l’appareil : exposition involontaire de l’index local ou du contenu des captures d’écran à d’autres applications, faiblesses dans la gestion des autorisations d’accès aux photos ou dans le flux de capture d’écran d’Android, traitement non sécurisé du texte extrait, contournement des droits d’accès ou des achats et tout problème qui amène KeepSift à transmettre des données qu’il ne devrait pas transmettre.

3. Hors périmètre

• Tests de déni de service, tests volumétriques ou tests d’épuisement des ressources.
• Ingénierie sociale, hameçonnage ou attaques physiques contre nous ou les utilisateurs de KeepSift.
• Signalements concernant des services tiers dont nous dépendons plutôt que notre propre code, notamment l’App Store, les plateformes Apple, Google Play, Android, Google ML Kit et Cloudflare. Signalez-les au fournisseur concerné.
• Constats nécessitant un appareil rooté, jailbreaké ou déjà compromis, ou un attaquant qui a déjà un accès physique à un téléphone déverrouillé, sauf si vous pouvez démontrer une escalade réaliste.
• Résultats d’analyseurs automatisés sans incidence démontrée, et absence d’en-têtes de sécurité ou recommandations de bonnes pratiques sans voie d’exploitation.
• Tout test qui accède aux données d’une autre personne, les modifie ou les détruit.

4. À quoi vous attendre

Nous sommes une petite entreprise et nous préférons nous engager sur des objectifs que nous pouvons tenir plutôt que sur des objectifs impressionnants que nous ne pouvons pas respecter.

• Nous accuserons réception de votre signalement dans un délai de 5 jours ouvrés.
• Nous vous indiquerons si nous considérons qu’il s’agit d’un problème de sécurité valide, ainsi que notre première évaluation de sa gravité, dans un délai de 15 jours ouvrés.
• Nous vous tiendrons informé au moins tous les 30 jours pendant que nous travaillerons à une correction.
• Nous vous indiquerons quand une correction aura été publiée et dans quelle version de l’application.

Lorsque la loi nous impose de notifier une autorité — par exemple une autorité de contrôle en vertu de la législation applicable sur la protection des données ou une équipe de réponse aux incidents de sécurité informatique en vertu de la législation applicable sur la sécurité des produits —, nous le ferons dans les délais prescrits. Cette obligation est indépendante de la présente politique et ne modifie pas nos obligations envers vous en tant que personne à l’origine du signalement.

5. Divulgation coordonnée

Veuillez nous donner une possibilité raisonnable de corriger un problème avant de le divulguer publiquement. Nous demandons un délai de 90 jours à compter de votre premier signalement et nous nous efforcerons d’agir plus rapidement pour tout problème grave.

Si nous ne pouvons pas corriger un problème dans un délai de 90 jours, nous vous en expliquerons la raison et conviendrons avec vous d’une nouvelle date plutôt que de vous demander de garder indéfiniment le silence. Si un problème est déjà exploité, nous pourrons agir et le divulguer plus rapidement. Nous ne vous demanderons pas de reporter indéfiniment la divulgation et nous ne considérerons pas qu’un désaccord de bonne foi sur le calendrier constitue une violation de la présente politique.

Avec votre autorisation, nous serons heureux de vous créditer par votre nom ou votre pseudonyme lors de la publication d’une correction.

6. Protection

Si vous vous efforcez de bonne foi de suivre la présente politique lorsque vous recherchez une vulnérabilité, nous n’engagerons ni ne soutiendrons d’action en justice contre vous au titre de ces recherches et nous considérerons votre activité comme autorisée au regard de la législation applicable sur l’utilisation abusive des systèmes informatiques.

Cette protection dépend de votre bonne foi : effectuez des tests uniquement sur votre propre appareil, vos propres comptes et vos propres données ; arrêtez-vous dès que vous avez confirmé une vulnérabilité ; n’accédez pas aux données d’une autre personne, ne les copiez, modifiez, conservez ou détruisez pas ; ne dégradez pas le service pour autrui ; et ne vous livrez pas à l’extorsion ou aux menaces et ne publiez pas les informations d’autres personnes.

Nous ne pouvons accorder cette protection au nom de quiconque. Les tiers dont vous utilisez les services ou l’infrastructure — boutiques d’applications, hébergeurs et fournisseurs de plateformes — ont leurs propres politiques, et cette page ne les engage pas.

7. Récompenses

Nous n’exploitons pas de programme rémunéré de chasse aux bugs et nous n’offrons actuellement aucune récompense financière. Nous le disons clairement pour éviter toute ambiguïté. Nous proposons un traitement rapide, une communication honnête, une mention publique si vous le souhaitez et un accès direct aux personnes qui écrivent le code.

8. Contact

[email protected]
Masorix LLC
N° d’enregistrement 999.110.1593071

Nous ne publions actuellement aucune clé PGP. Si vous devez envoyer un élément chiffré, contactez-nous d’abord par e-mail et nous conviendrons d’un canal de transmission.