Programme de divulgation des vulnérabilités

Vous avez trouvé une vulnérabilité ?
Prévenez-nous d’abord.

Nous examinons chaque signalement crédible. La Hall of Fame passe en premier ; un paiement volontaire de reconnaissance peut être envisagé au cas par cas.

Afficher la clé PGP

Notre approche

La sécurité est un travail d’équipe.

Les chercheurs en sécurité ne sont pas des adversaires. Ils sont souvent les premiers à détecter de véritables vulnérabilités. Nous les traitons avec respect : réponses honnêtes, conditions claires et reconnaissance équitable. Il s’agit d’un Programme de divulgation des vulnérabilités avec une possible reconnaissance dans la Hall of Fame et de petits paiements de reconnaissance optionnels après examen au cas par cas. Ce n’est pas un programme bug bounty traditionnel avec des paiements fixes ou garantis.

Apple crédite notre fondateur Chris Bohn nommément dans une mise à jour de sécurité officielle pour une vulnérabilité du noyau signalée dans OS X (CVE-2013-1029). Nous savons par expérience combien de travail demande un bon signalement et à quel point un traitement équitable est important. Source : support.apple.com/en-us/103517

Fonctionnement

Du signalement au correctif en trois étapes.

Pas de bureaucratie. Pas de formulaires. Pas de processus caché.

Étape 01

Signaler

Envoyez un e-mail à . Décrivez l’actif concerné, les étapes de reproduction et l’impact réaliste. Plus votre signalement est précis, plus nous pouvons l’examiner rapidement.

Étape 02

Triage

Nous examinons les signalements crédibles et répondons généralement sous quelques jours ouvrés. En cas de retard, nous vous tiendrons informé.

Étape 03

Correctif & reconnaissance

Les correctifs sont priorisés selon la gravité. Les constats éligibles et validés peuvent être crédités dans notre Hall of Fame. Pour les vulnérabilités produit appropriées, nous examinons la coordination CVE.

RFC 9116

security.txt

Vous utilisez un scanner ou vérifiez /.well-known/security.txt ? Vous êtes au bon endroit.


# https://www.protectstar.com/.well-known/security.txt

Contact: mailto:security@protectstar.com
Encryption: https://www.protectstar.com/security/pgp.asc
Policy: https://www.protectstar.com/security
Acknowledgments: https://www.protectstar.com/security/acknowledgments
Preferred-Languages: en, de
Canonical: https://www.protectstar.com/.well-known/security.txt
Canonical: https://protectstar.com/.well-known/security.txt
Expires: 2027-05-19T23:59:59Z

Ouvrir le fichier en ligne · Format conforme à RFC 9116

Périmètre

Ce qui est dans le périmètre.

Nous commençons avec un périmètre volontairement restreint afin que notre équipe puisse examiner chaque signalement en profondeur. Les signalements concernant les applications et les API sont les bienvenus, mais ils seront examinés au cas par cas.

Dans le périmètre

www.protectstar.com & protectstar.com Zones publiques du site web exploitées directement par Protectstar
Mécanismes d’intégrité des mises à jour et téléchargements documentés publiquement Signatures et hachages hébergés sur l’infrastructure Protectstar
Métadonnées d’intégrité de fichiers publiées Publié sur protectstar.com
Sous-domaines supplémentaires Uniquement lorsqu’ils sont explicitement listés ou confirmés par écrit par nos soins

Hors périmètre

Systèmes et services tiers Prestataires de boutique et de paiement, app stores, CDN/hébergement, moteurs externes, SDK et services partenaires
API, serveurs de licence/activation et systèmes internes non explicitement confirmés
Ingénierie sociale & phishing Ciblage des employés, du support ou des partenaires
DoS / DDoS / tests de volume
Attaques physiques
Self-XSS et en-têtes de bonnes pratiques manquants sans impact
Versions bêta / TestFlight / préversion

Applications, API backend, logiciels desktop : Les signalements sont les bienvenus, mais ils ne sont pas automatiquement dans le périmètre ni éligibles à une reconnaissance. Nous examinons chaque signalement au cas par cas.

Safe Harbor

Recherchez de bonne foi. Nous vous traiterons équitablement.

Si vous menez des recherches de sécurité de bonne foi, dans le cadre de cette politique, et exclusivement sur des actifs explicitement listés comme dans le périmètre ou confirmés par écrit par nos soins, nous considérons ces recherches comme autorisées. Protectstar n’engagera ni ne soutiendra d’action en justice pour ces recherches dans la mesure où les réclamations relèvent de notre contrôle.

Exigences

Aucune exploitation au-delà de ce qui est nécessaire pour démontrer la vulnérabilité
Aucune divulgation de la vulnérabilité à des tiers avant un correctif
Aucune exfiltration, modification, suppression, conservation ou transmission de données qui ne vous appartiennent pas. Utilisez des comptes de test chaque fois que possible
Aucune publication ni divulgation sans coordination préalable et approbation écrite ; 90 jours est notre ligne directrice, pas une autorisation automatique
Aucune interruption intentionnelle de service ni destruction de données
Respect des lois applicables à vous, à vos recherches et aux systèmes concernés

Si vous voyez accidentellement des données qui ne vous appartiennent pas, arrêtez-vous immédiatement. N’y accédez pas davantage, ne les copiez pas, ne les modifiez pas, ne les supprimez pas, ne les stockez pas et ne les partagez pas ; signalez uniquement les informations minimales nécessaires à la vérification. Cette assurance s’applique exclusivement aux réclamations relevant du contrôle de Protectstar et n’autorise aucune conduite interdite par la loi. Elle ne s’étend pas aux activités visant des systèmes, services, réseaux ou données de tiers et n’empêche pas une action indépendante de tiers. En cas de doute : demandez avant, pas après.

Reconnaissance

Hall of Fame d’abord. Petits paiements de reconnaissance au cas par cas.

Protectstar n’exploite pas de programme bug bounty traditionnel avec des paiements fixes ou garantis. Notre priorité est un examen équitable, une remédiation coordonnée et une possible reconnaissance dans la Hall of Fame pour les signalements qui satisfont à nos exigences. En outre, Protectstar peut, à sa seule discrétion, offrir un petit paiement volontaire de reconnaissance pour des signalements particulièrement utiles, validés, précédemment inconnus et dans le périmètre. Il n’existe aucun droit au paiement ; toute décision d’accorder un paiement, ainsi que son montant, n’est prise qu’après validation du signalement technique complet.

Exigences pour une possible reconnaissance dans la Hall of Fame

Valide et documenté de manière reproductible
Précédemment inconnu et pas déjà en cours d’examen interne
Dans le périmètre selon les zones listées ci-dessus
Soumis en premier (le premier déclarant compte)
Signalé sans violation de cette politique
Matériellement pertinent pour la sécurité de Protectstar ou de nos utilisateurs
Sans menaces ni demandes de paiement avant, pendant ou après le signalement

Classification de la gravité

La gravité influence la priorité de correction et la reconnaissance possible. La Hall of Fame reste notre principale forme de reconnaissance.

Sévérité	Exemples courants	Reconnaissance possible
Critique	Exécution de code à distance, contournement d’authentification, fuite massive de données, compromission de l’intégrité des mises à jour	Hall of Fame ; un petit paiement volontaire de reconnaissance peut être envisagé après examen au cas par cas
Élevée	Élévation de privilèges, faiblesses cryptographiques avec impact, prise de contrôle de compte	Hall of Fame ; un petit paiement volontaire de reconnaissance peut être envisagé après examen au cas par cas
Moyenne	XSS stockée, IDOR avec impact démontrable, problèmes de session	Hall of Fame ; un petit paiement optionnel de reconnaissance peut être envisagé pour un impact clair et reproductible
Faible	XSS réfléchie à impact limité, divulgation d’informations sans conséquences	Généralement Hall of Fame ou remerciements ; reconnaissance monétaire uniquement dans des cas exceptionnels

La gravité est évaluée à l’aide de CVSS 4.0 ou CVSS 3.1 comme ligne directrice. Protectstar effectue l’évaluation finale ; nous pouvons expliquer par écrit les évaluations divergentes sur demande. Nous ne négocions aucun montant avant réception et validation du signalement technique complet.

Délais de réponse

Nos délais cibles.

Nous sommes une équipe légère, pas un SOC 24/7. Ces chiffres sont nos objectifs. En cas de retard, nous vous en informerons.

3 jours ouvrés Accusé de réception (objectif)

10 jours ouvrés Premier triage technique (objectif)

90 jours Divulgation coordonnée (objectif)

Chiffrement

Clé PGP.

Pour les détails sensibles de vulnérabilité, vous pouvez chiffrer votre signalement.

Empreinte

B8DB 47D7 DBE5 DD63 7C65 80E0 3513 CE31 BD10 B7AD

ID de clé

0x3513CE31BD10B7AD

Identité

PROTECTSTAR Support Hero
< >

Cette clé est actuellement associée à et autorisée par Protectstar pour les communications chiffrées avec .

Télécharger la clé

Hall of Fame

Ceux qui nous ont aidés.

Chercheurs en sécurité qui ont utilisé notre programme de manière responsable et contribué à rendre nos produits plus sûrs.

Aditya Singh

India

Security Misconfiguration

August 2026

Peter Levashov

SEVERADAO SECURITY LLC

Responsible, coordinated disclosure through our Vulnerability Disclosure Program. Thank you.

May 2026

Inscription sous votre nom légal ou un pseudonyme sur demande. Pour les vulnérabilités produit appropriées, nous examinons la coordination CVE via une CNA appropriée.

Questions fréquentes

Avant de poser votre question.

Que signifie « de bonne foi » ?

Une recherche de bonne foi signifie que vous suivez cette politique, démontrez une vulnérabilité sans l’exploiter au-delà du nécessaire, nous la signalez en premier et nous laissez le temps de la corriger. Le Safe Harbor ne s’applique plus si vous franchissez cette limite, exfiltrez des données utilisateur ou retenez des détails techniques pour exiger un paiement.

Serai-je payé pour mon signalement ?

Pas automatiquement. Protectstar n’exploite pas de programme bug bounty traditionnel avec des paiements fixes ou garantis. La Hall of Fame est notre principale forme de reconnaissance. Pour des signalements particulièrement utiles, validés, précédemment inconnus et dans le périmètre, nous pouvons offrir, à notre seule discrétion, un petit paiement volontaire de reconnaissance. Nous ne négocions pas de récompenses avant réception et validation du signalement technique complet.

Et si je souhaite signaler anonymement ?

Nous acceptons les signalements anonymes et les examinons techniquement de la même manière. Sur demande, nous vous créditerons dans la Hall of Fame sous un pseudonyme, à condition que les exigences soient remplies.

Comment la gravité est-elle déterminée ?

Nous utilisons CVSS 4.0 ou CVSS 3.1 comme ligne directrice et le complétons avec les facteurs d’impact de votre démonstration. Protectstar effectue l’évaluation finale. Si notre évaluation diffère de la vôtre, nous pouvons l’expliquer sur demande.

Ma découverte recevra-t-elle un identifiant CVE ?

Pour les vulnérabilités produit appropriées, nous examinons la coordination CVE via une CNA appropriée ou un autre canal adapté. Un identifiant CVE n’est pas garanti et dépend des règles CVE de la CNA.

Puis-je utiliser des scanners automatisés ?

Oui, mais uniquement de manière non invasive, avec limitation de débit, et sur des actifs explicitement listés comme dans le périmètre. Les outils agressifs, les taux de requêtes élevés ou les tests pouvant affecter la disponibilité pour d’autres utilisateurs ne sont pas autorisés. Les sorties brutes de scanner sans impact vérifié, telles que des en-têtes manquants, des notes TLS ou la divulgation de versions, ne sont pas éligibles à une reconnaissance. En cas de doute : demandez d’abord.

Qu’en est-il des signalements dupliqués ?

Le premier déclarant compte. Si une vulnérabilité est déjà connue en interne ou a déjà été signalée, elle n’est pas éligible à une reconnaissance. Nous vous en informerons le plus tôt possible.

Mon signalement concerne une application ou une API backend. Est-ce dans le périmètre ?

Les signalements concernant les applications et API Protectstar sont les bienvenus. Dans cette première phase, toutefois, ils sont examinés au cas par cas et ne sont pas automatiquement éligibles à une reconnaissance, sauf si l’actif concerné est explicitement listé ci-dessus ou confirmé par écrit par nos soins. Envoyez-nous tout de même votre signalement.

Envoyez-nous votre signalement.

Nous examinons les signalements crédibles et répondons généralement sous quelques jours ouvrés.

PGP disponible · security.txt conforme à RFC 9116 · Safe Harbor pour les recherches de bonne foi