Français
Deutsch
English
Español
Italiano
Português
Русский
العربية
हिन्दी
日本語
简体中文
Android
iOS
Mac
Windows
Signaler
Envoyez un e-mail à . Décrivez l’actif concerné, les étapes de reproduction et l’impact réaliste. Plus votre signalement est précis, plus nous pouvons l’examiner rapidement.
Programme de divulgation des vulnérabilités Vous avez trouvé une vulnérabilité ?
Vous avez trouvé une vulnérabilité ?
Prévenez-nous d’abord.
Nous examinons chaque signalement crédible. La Hall of Fame passe en premier ; un paiement volontaire de reconnaissance peut être envisagé au cas par cas.
Notre approche
La sécurité est un travail d’équipe.
Les chercheurs en sécurité ne sont pas des adversaires. Ils sont souvent les premiers à détecter de véritables vulnérabilités. Nous les traitons avec respect : réponses honnêtes, conditions claires et reconnaissance équitable. Il s’agit d’un Programme de divulgation des vulnérabilités avec une possible reconnaissance dans la Hall of Fame et de petits paiements de reconnaissance optionnels après examen au cas par cas. Ce n’est pas un programme bug bounty traditionnel avec des paiements fixes ou garantis.
Apple crédite notre fondateur Chris Bohn nommément dans une mise à jour de sécurité officielle pour une vulnérabilité du noyau signalée dans OS X (CVE-2013-1029). Nous savons par expérience combien de travail demande un bon signalement et à quel point un traitement équitable est important. Source : support.apple.com/en-us/103517
Fonctionnement Étape 01 Étape 02 Étape 03
Du signalement au correctif en trois étapes.
Pas de bureaucratie. Pas de formulaires. Pas de processus caché.
Triage
Nous examinons les signalements crédibles et répondons généralement sous quelques jours ouvrés. En cas de retard, nous vous tiendrons informé.
Correctif & reconnaissance
Les correctifs sont priorisés selon la gravité. Les constats éligibles et validés peuvent être crédités dans notre Hall of Fame. Pour les vulnérabilités produit appropriées, nous examinons la coordination CVE.
RFC 9116
security.txt
Vous utilisez un scanner ou vérifiez /.well-known/security.txt ? Vous êtes au bon endroit.
# https://www.protectstar.com/.well-known/security.txt Contact: mailto:security@protectstar.com Encryption: https://www.protectstar.com/security/pgp.asc Policy: https://www.protectstar.com/security Acknowledgments: https://www.protectstar.com/security/acknowledgments Preferred-Languages: en, de Canonical: https://www.protectstar.com/.well-known/security.txt Canonical: https://protectstar.com/.well-known/security.txt Expires: 2027-05-19T23:59:59Z
Périmètre
Ce qui est dans le périmètre.
Nous commençons avec un périmètre volontairement restreint afin que notre équipe puisse examiner chaque signalement en profondeur. Les signalements concernant les applications et les API sont les bienvenus, mais ils seront examinés au cas par cas.
Dans le périmètre
- www.protectstar.com & protectstar.com Zones publiques du site web exploitées directement par Protectstar
- Mécanismes d’intégrité des mises à jour et téléchargements documentés publiquement Signatures et hachages hébergés sur l’infrastructure Protectstar
- Métadonnées d’intégrité de fichiers publiées Publié sur protectstar.com
- Sous-domaines supplémentaires Uniquement lorsqu’ils sont explicitement listés ou confirmés par écrit par nos soins
Hors périmètre
- Systèmes et services tiers Prestataires de boutique et de paiement, app stores, CDN/hébergement, moteurs externes, SDK et services partenaires
- API, serveurs de licence/activation et systèmes internes non explicitement confirmés
- Ingénierie sociale & phishing Ciblage des employés, du support ou des partenaires
- DoS / DDoS / tests de volume
- Attaques physiques
- Self-XSS et en-têtes de bonnes pratiques manquants sans impact
- Versions bêta / TestFlight / préversion
Applications, API backend, logiciels desktop : Les signalements sont les bienvenus, mais ils ne sont pas automatiquement dans le périmètre ni éligibles à une reconnaissance. Nous examinons chaque signalement au cas par cas.
Safe Harbor
Recherchez de bonne foi. Nous vous traiterons équitablement.
Si vous menez des recherches de sécurité de bonne foi, dans le cadre de cette politique, et exclusivement sur des actifs explicitement listés comme dans le périmètre ou confirmés par écrit par nos soins, nous considérons ces recherches comme autorisées. Protectstar n’engagera ni ne soutiendra d’action en justice pour ces recherches dans la mesure où les réclamations relèvent de notre contrôle.
Exigences
- Aucune exploitation au-delà de ce qui est nécessaire pour démontrer la vulnérabilité
- Aucune divulgation de la vulnérabilité à des tiers avant un correctif
- Aucune exfiltration, modification, suppression, conservation ou transmission de données qui ne vous appartiennent pas. Utilisez des comptes de test chaque fois que possible
- Aucune publication ni divulgation sans coordination préalable et approbation écrite ; 90 jours est notre ligne directrice, pas une autorisation automatique
- Aucune interruption intentionnelle de service ni destruction de données
- Respect des lois applicables à vous, à vos recherches et aux systèmes concernés
Si vous voyez accidentellement des données qui ne vous appartiennent pas, arrêtez-vous immédiatement. N’y accédez pas davantage, ne les copiez pas, ne les modifiez pas, ne les supprimez pas, ne les stockez pas et ne les partagez pas ; signalez uniquement les informations minimales nécessaires à la vérification. Cette assurance s’applique exclusivement aux réclamations relevant du contrôle de Protectstar et n’autorise aucune conduite interdite par la loi. Elle ne s’étend pas aux activités visant des systèmes, services, réseaux ou données de tiers et n’empêche pas une action indépendante de tiers. En cas de doute : demandez avant, pas après.
Reconnaissance
Hall of Fame d’abord. Petits paiements de reconnaissance au cas par cas.
Protectstar n’exploite pas de programme bug bounty traditionnel avec des paiements fixes ou garantis. Notre priorité est un examen équitable, une remédiation coordonnée et une possible reconnaissance dans la Hall of Fame pour les signalements qui satisfont à nos exigences. En outre, Protectstar peut, à sa seule discrétion, offrir un petit paiement volontaire de reconnaissance pour des signalements particulièrement utiles, validés, précédemment inconnus et dans le périmètre. Il n’existe aucun droit au paiement ; toute décision d’accorder un paiement, ainsi que son montant, n’est prise qu’après validation du signalement technique complet.
Exigences pour une possible reconnaissance dans la Hall of Fame
- Valide et documenté de manière reproductible
- Précédemment inconnu et pas déjà en cours d’examen interne
- Dans le périmètre selon les zones listées ci-dessus
- Soumis en premier (le premier déclarant compte)
- Signalé sans violation de cette politique
- Matériellement pertinent pour la sécurité de Protectstar ou de nos utilisateurs
- Sans menaces ni demandes de paiement avant, pendant ou après le signalement
Classification de la gravité
La gravité influence la priorité de correction et la reconnaissance possible. La Hall of Fame reste notre principale forme de reconnaissance.
| Sévérité | Exemples courants | Reconnaissance possible |
|---|---|---|
| Critique | Exécution de code à distance, contournement d’authentification, fuite massive de données, compromission de l’intégrité des mises à jour | Hall of Fame ; un petit paiement volontaire de reconnaissance peut être envisagé après examen au cas par cas |
| Élevée | Élévation de privilèges, faiblesses cryptographiques avec impact, prise de contrôle de compte | Hall of Fame ; un petit paiement volontaire de reconnaissance peut être envisagé après examen au cas par cas |
| Moyenne | XSS stockée, IDOR avec impact démontrable, problèmes de session | Hall of Fame ; un petit paiement optionnel de reconnaissance peut être envisagé pour un impact clair et reproductible |
| Faible | XSS réfléchie à impact limité, divulgation d’informations sans conséquences | Généralement Hall of Fame ou remerciements ; reconnaissance monétaire uniquement dans des cas exceptionnels |
La gravité est évaluée à l’aide de CVSS 4.0 ou CVSS 3.1 comme ligne directrice. Protectstar effectue l’évaluation finale ; nous pouvons expliquer par écrit les évaluations divergentes sur demande. Nous ne négocions aucun montant avant réception et validation du signalement technique complet.
Délais de réponse
Nos délais cibles.
Nous sommes une équipe légère, pas un SOC 24/7. Ces chiffres sont nos objectifs. En cas de retard, nous vous en informerons.
3 jours ouvrés Accusé de réception (objectif)
10 jours ouvrés Premier triage technique (objectif)
90 jours Divulgation coordonnée (objectif)
Chiffrement
Clé PGP.
Pour les détails sensibles de vulnérabilité, vous pouvez chiffrer votre signalement.
Empreinte
B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD
ID de clé
0x3513CE31BD10B7AD
Identité
PROTECTSTAR Support Hero
< >
< >
Cette clé est actuellement associée à et autorisée par Protectstar pour les communications chiffrées avec .
Télécharger la clé Hall of Fame
Ceux qui nous ont aidés.
Chercheurs en sécurité qui ont utilisé notre programme de manière responsable et contribué à rendre nos produits plus sûrs.
Aucune entrée pour le moment.
Notre programme vient d’être lancé. Les signalements qui satisfont à nos exigences pourront être crédités ici.
Questions fréquentes
Avant de poser votre question.
Une recherche de bonne foi signifie que vous suivez cette politique, démontrez une vulnérabilité sans l’exploiter au-delà du nécessaire, nous la signalez en premier et nous laissez le temps de la corriger. Le Safe Harbor ne s’applique plus si vous franchissez cette limite, exfiltrez des données utilisateur ou retenez des détails techniques pour exiger un paiement.
Pas automatiquement. Protectstar n’exploite pas de programme bug bounty traditionnel avec des paiements fixes ou garantis. La Hall of Fame est notre principale forme de reconnaissance. Pour des signalements particulièrement utiles, validés, précédemment inconnus et dans le périmètre, nous pouvons offrir, à notre seule discrétion, un petit paiement volontaire de reconnaissance. Nous ne négocions pas de récompenses avant réception et validation du signalement technique complet.
Nous acceptons les signalements anonymes et les examinons techniquement de la même manière. Sur demande, nous vous créditerons dans la Hall of Fame sous un pseudonyme, à condition que les exigences soient remplies.
Nous utilisons CVSS 4.0 ou CVSS 3.1 comme ligne directrice et le complétons avec les facteurs d’impact de votre démonstration. Protectstar effectue l’évaluation finale. Si notre évaluation diffère de la vôtre, nous pouvons l’expliquer sur demande.
Pour les vulnérabilités produit appropriées, nous examinons la coordination CVE via une CNA appropriée ou un autre canal adapté. Un identifiant CVE n’est pas garanti et dépend des règles CVE de la CNA.
Oui, mais uniquement de manière non invasive, avec limitation de débit, et sur des actifs explicitement listés comme dans le périmètre. Les outils agressifs, les taux de requêtes élevés ou les tests pouvant affecter la disponibilité pour d’autres utilisateurs ne sont pas autorisés. Les sorties brutes de scanner sans impact vérifié, telles que des en-têtes manquants, des notes TLS ou la divulgation de versions, ne sont pas éligibles à une reconnaissance. En cas de doute : demandez d’abord.
Le premier déclarant compte. Si une vulnérabilité est déjà connue en interne ou a déjà été signalée, elle n’est pas éligible à une reconnaissance. Nous vous en informerons le plus tôt possible.
Les signalements concernant les applications et API Protectstar sont les bienvenus. Dans cette première phase, toutefois, ils sont examinés au cas par cas et ne sont pas automatiquement éligibles à une reconnaissance, sauf si l’actif concerné est explicitement listé ci-dessus ou confirmé par écrit par nos soins. Envoyez-nous tout de même votre signalement.
Envoyez-nous votre signalement.
Nous examinons les signalements crédibles et répondons généralement sous quelques jours ouvrés.
PGP disponible · security.txt conforme à RFC 9116 · Safe Harbor pour les recherches de bonne foi