Bug bounty
Trouvez un trou dans notre clôture. Nous vous dirons merci, et nous vous paierons.
Aucun système n'est parfait, le nôtre non plus. Si vous trouvez une faille de sécurité sur notre site ou dans les services que nous exploitons, prévenez-nous avant tout le monde. Nous la corrigerons rapidement, vous tiendrons informé et récompenserons les découvertes qui se confirment.
- Des récompenses pour les découvertes valides
- Aucune poursuite pour une recherche de bonne foi
- Votre signalement reste confidentiel
- Signalements en arabe ou en anglais
De votre signalement à votre récompense
Vous signalez
Écrivez à security (at) ultaria.com en décrivant votre découverte
Nous confirmons
Nous visons une réponse sous trois jours ouvrés
Nous corrigeons
Et vous prévenons quand c'est fait
Vous êtes récompensé
Selon la gravité, une fois la découverte validée
Les règles du jeu, des deux côtés
La divulgation responsable fonctionne quand chacun tient parole. Voici nos engagements, et ce que nous vous demandons.
Prévenez-nous d'abord, et vite
Signalez une faille présumée dès que vous la trouvez. Plus tôt nous le savons, plus tôt elle est refermée.
Laissez-nous le temps de corriger
Gardez les détails pour vous jusqu'à ce que nous confirmions la correction. Merci de ne pas les rendre publics ni de les partager avec qui que ce soit avant.
Utilisez vos propres comptes
Ne testez qu'avec des comptes et des données qui vous appartiennent. Ne consultez, ne modifiez et ne supprimez rien qui appartienne à quelqu'un d'autre.
Pas d'usurpation
Ne vous faites pas passer pour un membre de notre équipe, un client ou un autre chercheur, et n'essayez pas de piéger notre équipe. L'ingénierie sociale ne fait pas partie de ce programme.
Nous ne vous poursuivrons pas
Si vous respectez ces règles et agissez de bonne foi, nous n'engagerons aucune action en justice contre vous pour vos recherches.
Cela reste entre nous
Votre signalement est confidentiel. Nous ne communiquons vos données personnelles à personne sans votre accord, sauf obligation légale.
Ce qui donne droit à une récompense
Un signalement est éligible si :
- Vous êtes le premier à signaler la faille.
- Vous fournissez une preuve de concept fonctionnelle, ou des étapes claires pour la reproduire.
- Elle concerne un système inclus dans le périmètre : ultaria.com, ses sous-domaines, ou un service que nous exploitons nous-mêmes.
- Vous avez respecté les règles de cette page pour la trouver.
- Elle n'a pas été rendue publique avant notre correction.
- Nous sommes légalement en mesure de vous payer dans votre pays de résidence.
Des récompenses à la mesure du risque
Les récompenses sont versées en argent ou en crédit sur les services Ultaria, selon votre préférence. Une fois la découverte validée par nos experts, nous proposons un montant qui suit sa gravité. Si vous ne le trouvez pas juste, un tiers indépendant choisi d'un commun accord l'évalue.
La gravité fixe la récompense
Une faille qui expose des données clients ou donne le contrôle d'un système rapporte plus qu'une faille à l'effet limité.
À chacun son mérite
Avec votre accord, nous vous remercions nommément sur cette page une fois le correctif en ligne.
Une récompense par faille
Si plusieurs personnes signalent la même faille, c'est le premier signalement complet qui est récompensé.
Un second avis sur le montant
Le montant ne vous convient pas ? Nous choisissons avec vous un expert en sécurité indépendant, qui examine la découverte et recommande une récompense juste. Nous versons ce qu'il recommande.
Hors périmètre
Nous ne récompensons pas ce qui suit, et nous pourrions ne pas répondre aux signalements qui s'y rapportent.
Attaques contre les personnes et les locaux
Ingénierie sociale et hameçonnage, et attaques physiques contre les bureaux, les centres de données ou le matériel.
Tout ce qui perturbe le service
Attaques par déni de service, force brute sous toutes ses formes, et énumération d'utilisateurs par force brute.
Résultats de scanners
Rapports générés par des outils automatiques sans exploitation démontrée et fonctionnelle.
Logiciels et systèmes d'autrui
Bugs dans des logiciels tiers ou open source, y compris WordPress et ses extensions, et manipulation de ce qui est envoyé aux prestataires de paiement. Signalez-les à leurs propriétaires. Nous faisons de même. Open source
Les sites de nos clients
Sites, serveurs et applications que nos clients font tourner sur notre plateforme. Ils appartiennent au client, et les tester nécessite son autorisation.
En-têtes et réglages seuls
En-têtes de sécurité ou attributs de cookies manquants, clickjacking, réglages SPF, DKIM, DMARC ou SSL, numéros de version, listes de répertoires et adresses IP de serveurs, lorsqu'ils ne mènent pas directement à une faille.
Problèmes web à faible impact
Self-XSS, CSRF sans effet réel, redirections ouvertes, injection de texte sur les pages d'erreur, attaques par homographes, problèmes de cache et bugs de navigateur.
Hygiène des comptes
Règles de mot de passe, durée des sessions, robustesse des CAPTCHA, absence de limitation de débit, réutilisation de codes à usage unique, et tout ce qui nécessite un accès à l'appareil de la victime.
Rédigez un signalement exploitable
- 1
Dites ce que vous avez trouvé
L'adresse ou le système concerné, et le type de faille.
- 2
Montrez comment
Des étapes que nous pouvons suivre, ou une preuve de concept. Des captures d'écran ou une courte vidéo aident.
- 3
Dites ce qu'elle permettrait
Ce qu'un attaquant pourrait atteindre ou modifier.
- 4
Dites-nous comment vous joindre
Et sous quel nom vous souhaitez être remercié, le cas échéant.
Envoyez votre signalement ici
Il arrive directement à notre équipe sécurité. Besoin de partager des captures d'écran ou une vidéo ? Envoyez d'abord le signalement et nous vous répondrons avec un moyen sûr de les transmettre.
Les questions des chercheurs
Combien payez-vous ?
Cela dépend de la gravité, c'est pourquoi nous ne publions pas de barème. Vous connaissez le montant une fois la découverte validée par nos experts. Si vous n'êtes pas d'accord, un tiers indépendant choisi d'un commun accord l'examine et fixe un montant juste.
Qui est le tiers indépendant ?
Un professionnel ou un cabinet de sécurité qui ne travaille ni pour vous ni pour nous, choisi ensemble pour chaque cas. Il prend connaissance du signalement et de notre évaluation, et recommande la récompense.
Sous quel délai répondez-vous ?
Nous visons à confirmer la réception de votre signalement sous trois jours ouvrés, et à vous tenir informé jusqu'à la mise en ligne du correctif.
Puis-je publier mes découvertes ?
Oui, une fois la correction confirmée. Nous convenons volontiers avec vous du moment et de la formulation.
Je suis client. Puis-je aussi signaler quelque chose ?
Oui. Les mêmes règles et les mêmes récompenses s'appliquent, et signaler une faille ne joue jamais contre votre compte.
Et si je ne suis pas sûr que ce soit une vraie faille ?
Envoyez-la quand même, avec ce que vous avez observé. Nous préférons lire dix signalements qui ne mènent à rien que de manquer celui qui compte.
Bug bounty
Vous avez trouvé quelque chose ? Dites-le-nous avant tout le monde.
Écrivez à security (at) ultaria.com, en arabe ou en anglais. Nous lisons chaque signalement.