Comment nous protégeons observatory.global, et comment nous signaler une vulnérabilité de sécurité en toute sécurité. Nous accueillons les signalements des chercheurs en sécurité et n'engagerons pas de poursuites contre une recherche de bonne foi qui respecte cette politique.
1. Comment nous protégeons le service
Nous protégeons le service au moyen de connexions chiffrées, d'un service de sécurité et de diffusion qui filtre les attaques, d'une politique de sécurité du contenu stricte, de limites de fréquence et de verrouillages, de la connexion en deux étapes, de mots de passe conservés uniquement sous forme de hachage irréversible, du chiffrement des champs sensibles, d'un accès au moindre privilège pour le personnel, d'une surveillance et de sauvegardes vérifiées. Nous révisons et mettons à jour ces mesures au fil de l'évolution des menaces. Aucun système n'est parfaitement sûr; c'est pourquoi vos signalements sont précieux.
2. Comment signaler une vulnérabilité
Écrivez à contact@observatory.global en indiquant l'objet « Signalement de sécurité ». Veuillez inclure :
- l'adresse (URL), la fonction ou le composant touché;
- une description de la vulnérabilité et de ses conséquences possibles;
- les étapes permettant de la reproduire, avec tout code de démonstration, capture d'écran ou requête;
- la façon dont vous souhaitez être remercié publiquement, le cas échéant, et comment vous joindre.
Vous pouvez écrire en français ou en anglais. N'incluez pas les renseignements personnels d'autres personnes. Nos coordonnées lisibles par machine se trouvent à /.well-known/security.txt.
3. Portée
Visé : observatory.global et chacun des sites qu'il regroupe, ses comptes, sa communauté, ses formulaires et ses interfaces publiées, ainsi que les extensions et thèmes que nous développons pour lui.
Non visé : les attaques par déni de service et les essais de charge; l'ingénierie sociale, l'hameçonnage ou les attaques physiques visant notre personnel, nos membres ou nos locaux; le pourriel; les rapports d'outils d'analyse automatisés sans incidence démontrée; l'absence d'en-têtes recommandés sans incidence démontrée; les vulnérabilités des services de tiers que nous utilisons, comme notre service de sécurité et de diffusion ou notre hébergeur, qui doivent leur être signalées; et les appareils ou stations appartenant à des membres.
4. Règles pour les chercheurs
- N'effectuez des essais qu'avec des comptes qui vous appartiennent ou que vous êtes autorisé à utiliser, et n'accédez jamais aux données d'autres personnes, ne les modifiez pas et ne les supprimez pas. Si vous accédez par accident à des renseignements personnels, arrêtez, ne les conservez pas et avisez-nous.
- Ne faites que ce qui est nécessaire pour démontrer le problème. Ne dégradez pas le service, n'envoyez pas de pourriel et n'exécutez pas d'analyses automatisées à volume élevé.
- N'exploitez pas une vulnérabilité au-delà de ce qui est nécessaire pour la confirmer, et n'installez aucun accès persistant.
- Accordez-nous un délai raisonnable pour corriger le problème avant de le divulguer, et ne divulguez aucun détail tant que les membres demeurent exposés.
- Respectez la loi de l'endroit où vous vous trouvez.
5. Nos engagements
- Nous accusons réception de votre signalement dans un délai de 3 jours ouvrables.
- Nous vous transmettons une évaluation initiale dans un délai de 10 jours ouvrables et vous tenons informé jusqu'à la résolution du problème.
- Nous visons à corriger les problèmes critiques le plus rapidement possible et les autres problèmes confirmés dans un délai de 90 jours, et nous convenons avec vous de la date de divulgation.
- Avec votre permission, nous vous remercions publiquement une fois le problème corrigé.
- Si vous agissez de bonne foi et respectez cette politique, nous considérons votre recherche comme autorisée, nous n'engagerons aucune poursuite contre vous et ne vous signalerons pas aux autorités pour celle-ci, et si un tiers agit contre vous pour une recherche conforme à cette politique, nous ferons savoir que votre recherche était autorisée.
Nous n'offrons pas de rémunération pour les signalements.
6. security.txt
Nous publions le fichier suivant à /.well-known/security.txt, selon le format de la RFC 9116 :
Contact: mailto:contact@observatory.global
Expires: 2027-10-27T23:59:59Z
Preferred-Languages: en, fr
Canonical: https://observatory.global/.well-known/security.txt
Policy: https://observatory.global/legal/security/