Une faille ? Écrivez-nous en privé.
Remplissez le rapport ci-contre : il s’ouvre directement dans votre messagerie, prêt à être envoyé. Signalement privé, recherche de bonne foi, divulgation coordonnée.
Signalements appropriés
Si vous pensez avoir trouvé une vulnérabilité de sécurité dans un site détenu par ProvSeal ou un produit distribué par ProvSeal, signalez-la en privé afin qu’elle puisse être examinée avant toute divulgation publique.
- Vulnérabilités de sécurité dans provseal.fr ou les surfaces web détenues par ProvSeal.
- Défauts de sécurité dans les logiciels ProvSeal distribués officiellement.
- Exposition inattendue de données sensibles causée par du code ProvSeal.
- Défaillances reproductibles dans l’application des permissions ou des frontières de confiance.
Généralement hors périmètre
Ces sujets relèvent d’autres canaux.
- Les failles du standard C2PA lui-même
- L’ingénierie sociale et les attaques physiques
- Les rapports automatisés sans impact démontré
- Également hors de ce processus : les produits tiers sans lien, les campagnes de spam, les suggestions produit, les questions de support ou les litiges sur le contenu.
Protéger les éléments sensibles
N’envoyez pas par e-mail de clés privées, mots de passe, jetons d’authentification, certificats confidentiels ou médias sensibles. Commencez par une description expurgée et demandez une méthode de transfert plus sûre si les preuves contiennent des secrets.
- Utiliser un objet clairÉcrivez à security@provseal.fr avec « Security report » et la surface ProvSeal affectée dans l’objet du message.
- Limiter les preuvesPartagez uniquement les informations nécessaires pour reproduire et comprendre le problème. Expurgez les données personnelles et les secrets de tiers. Les captures d’écran, journaux ou preuves de concept, limités, doivent utiliser vos propres comptes, systèmes et médias de test.
- Ne pas envoyer de secrets de signatureProvSeal ne devrait jamais avoir besoin d’une clé de signature privée pour reproduire un problème produit. Utilisez du matériel de test et retirez les secrets des captures d’écran, journaux et fichiers d’exemple.
Bonne foi
Gardez les tests proportionnés et limités aux systèmes, comptes et données que vous êtes autorisé à utiliser.
- Restez sur vos comptes, vos fichiers et vos certificats de testUtilisez autant que possible vos propres comptes, fichiers, certificats et exemples hors production.
- Arrêtez dès que des données sensibles deviennent visiblesArrêtez les tests si des informations sensibles deviennent visibles.
- Signalez rapidement, sans exploitation au-delà de la démonstrationEnvoyez suffisamment de détails pour reproduire le problème, puis évitez toute exploitation supplémentaire au-delà de ce qui est nécessaire pour démontrer l’impact.
À éviter
Ces actions mettent en danger des utilisateurs ou des systèmes.
- Accéder aux données d’une autre personneN’accédez pas aux données d’une autre personne, ne les modifiez pas, ne les conservez pas et ne les divulguez pas.
- Tester par déni de service ou en masseN’effectuez pas de tests par déni de service, d’actions destructrices, de spam, de force brute ni d’analyses automatisées à haut volume.
- Publier avant la correctionLaissez le temps nécessaire à l’enquête et à la correction avant de publier des détails susceptibles de mettre en danger des utilisateurs ou des systèmes.
Ce qui se passe ensuite
Comment votre rapport est traité, de la première lecture à la divulgation.
- 1TriLe rapport est examiné selon son périmètre, sa reproductibilité et son impact probable. Des informations supplémentaires peuvent être demandées.
- 2InvestigationS’il est confirmé, le problème est priorisé et sa correction est planifiée selon sa gravité et les utilisateurs affectés.
- 3CoordinationLorsque cela est possible, la communication se poursuit pendant la correction et un calendrier raisonnable de divulgation est coordonné avec la personne à l’origine du signalement.
- Cette page ne crée pas de programme de bug bounty, ne promet aucune rémunération et ne garantit pas de délai de réponse ou de correction.
Merci de protéger les utilisateurs.
Un rapport court et reproductible vaut mieux qu’une longue pièce jointe.