Politique de divulgation responsable

La sécurité est notre priorité @ Donorbox et nous nous engageons à assurer la sécurité et la confidentialité de nos utilisateurs. Cette politique vise à donner des directives claires sur la manière de signaler de manière responsable les vulnérabilités de sécurité à Donorbox.

Cette politique de divulgation responsable indique quels domaines et types de vulnérabilités ou de découvertes et de recherches sont couverts par cette politique, comment nous envoyer des découvertes de vulnérabilités et à quoi s'attendre de notre part.

Nous vous encourageons à nous contacter pour signaler des vulnérabilités potentielles dans Donorbox.

Si vous faites un effort de bonne foi pour vous conformer à cette politique après avoir découvert une vulnérabilité, nous aimerions en être informés afin que nous puissions prendre des mesures pour y remédier le plus rapidement possible.

Si vous découvrez une vulnérabilité concernant la Donorbox et que vous souhaitez la partager avec nous, nous vous demandons, dans un esprit de divulgation responsable, de nous envoyer un email démontrant la vulnérabilité en suivant cette politique.

Donorbox se réserve tous les droits légaux et peut déposer une plainte auprès des forces de l'ordre en cas de non-respect de la politique.

Donorbox mettra à jour et révisera cette politique à mesure que nous avancerons dans le futur et Donorbox se réserve tous les droits de modifier ou d'annuler cette politique à tout moment.

  1. Comment soumettre une vulnérabilité

    1. Pour divulguer une faille de sécurité potentielle, veuillez l'envoyer par e-mail à notre équipe de sécurité :
    2. security@donorbox.org (Chiffrez vos résultats à l'aide de notre clé PGP pour éviter que ces informations critiques ne tombent entre de mauvaises mains)
    3. Lorsque vous signalez une faille de sécurité, veuillez le faire de manière responsable et fournir :
    1. un résumé de la vulnérabilité
    2. un proof of concept
    3. outils, commandes ou scripts utilisés.

  2. À quoi s'attendre

    1. Nous traiterons votre email avec la plus stricte confidentialité
    2. Nous ajouterons votre nom à notre "Hall of fame" si la vulnérabilité que vous signalez est inconnue à l'heure actuelle.

  3. Actif dans le champ d'application

    1. donorbox.org

  4. Cibles hors champ

    1. Tout autre domaine ou sous-domaine autre que donorbox.org
    2. Donorbox.com
    3. partners.donorbox.com
    4. community.donorbox.com

  5. Vulnérabilités typiques acceptées

    1. OWASP Top 10 des catégories de vulnérabilité
    2. Autres vulnérabilités avec impact démontré
    3. Injection SQL
    4. Script intersite (XSS)
    5. Contrefaçon de requête intersite (CSRF)
    6. Problèmes liés à l'authentification
    7. Problèmes liés à l'autorisation
    8. Attaques de redirection
    9. Exécution de code à distance
    10. Exposition des données

  6. Lignes directrices

    1. Contactez-nous immédiatement après avoir découvert la faille de sécurité.
    2. N'utilisez les exploits que dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité.
    3. Accordez-nous un délai raisonnable pour résoudre le problème et ne le divulguez jamais publiquement.
    4. Une fois que vous avez vérifié qu'une vulnérabilité existe ou trouvé des données sensibles, vous devez arrêter votre activité et ne pas aller de l'avant et ne divulguer la découverte à aucun tiers.
    5. Lorsque vous enquêtez sur des vulnérabilités, veuillez agir de bonne foi et respecter la confidentialité des données des autres utilisateurs ainsi que la disponibilité du service de Donorbox. De nombreuses personnes utilisent Donorbox quotidiennement, et il est dangereux - et illégal - de perturber leur utilisation de Donorbox.
    6. Ne demandez jamais de compensation ou de prime pour avoir trouvé des failles de sécurité et nous les avoir signalées.
    7. Utiliser vos comptes dans le processus de recherche du bogue.
    8. En cas de doute, contactez-nous.

  7. Actions interdites

    1. N'effacez/manipulez pas les données, ne compromettez pas les services de Donorbox et ne vous impliquez pas avec des tiers pour partager nos données confidentielles.
    2. Ne violez jamais la politique de confidentialité des utilisateurs de Donorbox.
    3. Ne vous impliquez dans aucun type d'ingénierie sociale, de spam et de tests physiques.
    4. Ne vous impliquez pas dans le phishing
    5. N'effectuez pas de recherches intrusives, telles que des attaques DoS, ou n'entreprenez aucune autre action susceptible de compromettre la sécurité, la crédibilité ou la disponibilité des données et des systèmes.
    6. Ne le divulguez pas publiquement et ne partagez pas votre découverte de vulnérabilité avec qui que ce soit.
    7. Aucun test des services tiers
    8. Ne téléchargez rien lié à la vulnérabilité à des tiers. c'est-à-dire Youtube, etc.
    9. N'utilisez jamais une vulnérabilité pour compromettre ou ex-filtrer des fichiers, pour obtenir un accès permanent ou persistant à la ligne de commande, ou pour pivoter vers d'autres applications, systèmes ou programmes.
    10. Ne pas accéder, détruire ou affecter négativement les données de Donorbox ou de ses clients de quelque manière que ce soit
    11. Ne violez aucune loi ou accord déjà conclu.
    12. Jamais de scanner ou d'outils automatisés pour rechercher des vulnérabilités dans Donorbox.
    13. Ne profitez pas de la faiblesse que vous avez découverte.
    14. La destruction ou la manipulation des données n'est jamais autorisée par nous.
    15. Ne vous impliquez jamais dans aucune sorte de violation et de violation de la vie privée
    16. Ne vous impliquez jamais dans la dégradation et la perturbation de l'expérience de nos utilisateurs et de nos services.

  8. Rapports hors champ

    1. Vulnérabilités théoriques
    2. Divulgation informative de données non sensibles
    3. Énumération des noms d'utilisateur WordPress
    4. Injection CSV
    5. Informations PHP
    6. Informations relatives à l'état du serveur, etc.
    7. Application côté client/navigateur saisie semi-automatique ou mot de passe/identifiants enregistrés
    8. Pages d'erreur, etc.
    9. Énumération de répertoires, fichiers ou actifs, etc.
    10. Résultats liés à la force du mot de passe, etc.
    11. Connexion/Déconnexion/Non authentifié/CSRF à faible impact
    12. Indicateurs de cookies manquants
    13. Auto-exploitation
    14. Bogues valides ou problèmes de meilleures pratiques qui ne sont pas directement liés à la posture de sécurité de la Donorbox
    15. Self-XSS comme des résultats qui ne pourraient pas être utilisés pour attaquer d'autres utilisateurs ou organisations.
    16. Tout ce qui implique de l'ingénierie sociale.
    17. DDOS ou DoS.
    18. Problèmes SSL (c'est-à-dire mauvaise configuration ou version)
    19. Enregistrements SPF, DKIM ou DMARC mal configurés,
    20. Tout autre service ou bibliothèque non directement hébergé ou contrôlé par Donorbox (c'est-à-dire des éléments tiers).

  9. Clause de non-responsabilité

    1. Donorbox se réserve le droit de prendre des décisions finales
    2. Une fois que vous nous soumettez un bogue ou trouvez une vulnérabilité, vous acceptez d'être lié par toutes les règles mentionnées ci-dessus.

  10. Hall of fame

    1. Donorbox tient à exprimer sa gratitude aux personnes ou entreprises suivantes pour nous avoir divulgué de manière responsable les failles de sécurité :