Signaler une vulnérabilité de sécurité

Si vous pensez avoir découvert une faille de sécurité dans InfraNest, cet article explique comment nous en informer, ce qu'il faut inclure et ce à quoi vous pouvez vous attendre en retour. Il s'adresse à toute personne — clients, chercheurs ou curieux — qui souhaite signaler un problème de manière responsable.

#Vue d'ensemble

• InfraNest prend les signalements de sécurité au sérieux et examine chacun d'entre eux.
• Un signalement responsable nous aide à corriger les problèmes rapidement, avant qu'ils ne puissent être exploités.
• Nous encourageons la recherche de bonne foi et n'engagerons aucune action en justice contre les signalements effectués conformément à cet article.

#Signaler une vulnérabilité

1. Envoyez votre signalement par e-mail à security@infranest.io.
2. N'ouvrez pas de ticket public sur GitHub et ne publiez d'informations sur le problème nulle part avant que nous ayons eu l'occasion de le corriger.
3. Dans votre e-mail, indiquez :
   • ce que vous avez trouvé, et ce que quelqu'un pourrait en faire ;
   • comment le reproduire — la page ou l'adresse concernée, les étapes suivies, ainsi que toute requête ou capture d'écran ;
   • si vous souhaitez être crédité, et sous quel nom.
4. Rédigez votre message en anglais, en néerlandais ou en allemand — selon ce qui vous convient le mieux.

WarningNe lancez jamais de tests de charge ou de tentatives de déni de service contre le service en production, même pour démontrer un point.

#Et ensuite ?

1. Nous confirmons la réception de votre signalement sous 3 jours ouvrés.
2. Nous vous informons de la gravité estimée du problème et de nos actions prévues, sous 7 jours ouvrés.
3. Nous vous tenons informé pendant que nous travaillons sur un correctif.
4. Une fois le correctif déployé, nous vous créditons pour votre découverte — sauf si vous préférez rester anonyme.

#Ce qui est couvert

• L'application InfraNest et son API (*.infranest.io).
• L'agent serveur, infranest-agent, et les données qu'il transmet.
• Tout ce qui permettrait à un espace de travail de voir ou de modifier les données, serveurs ou paramètres d'un autre espace de travail.
• La manière dont nous stockons et utilisons les clés et jetons que vous connectez.

#Ce qui n'est pas couvert

• Les problèmes nécessitant que quelqu'un contrôle déjà votre ordinateur ou votre serveur, ou y ait un accès physique.
• Les résultats bruts de scanners automatisés sans preuve de concept fonctionnelle.
• Les suggestions de bonnes pratiques sans impact concret sur la sécurité.
• L'ingénierie sociale — tromper notre équipe ou nos clients.
• Les tests de charge ou de déni de service contre le service en production.

#Recherche de bonne foi

Nous n'engagerons aucune action en justice contre vous, ni ne demanderons à quiconque de le faire, tant que vous :

1. Faites un effort sincère pour suivre les recommandations de cette page.
2. Évitez de porter atteinte à la vie privée de quiconque, de supprimer des données ou de ralentir le service.
3. Ne consultez pas plus de données d'un autre espace de travail que nécessaire pour démontrer le problème, et les supprimez ensuite.
4. Nous laissez un délai raisonnable pour corriger le problème avant d'en informer qui que ce soit d'autre.

TipLe moyen le plus sûr de tester est d'utiliser votre propre espace de travail — vous pouvez en créer un gratuitement.

#Conseils

• Cette adresse e-mail est réservée aux signalements de sécurité. Pour toute autre demande — un bug, une question ou un problème de facturation — contactez plutôt le support depuis l'application.
• Nos coordonnées de contact officielles sont également disponibles à l'adresse https://infranest.io/.well-known/security.txt.