Responsible Disclosure Policy

Nous apprécions le travail des chercheurs en sécurité. Si vous trouvez une vulnérabilité dans notre plateforme, signalez-la via ce canal — pas publiquement.

Scope

Dans le périmètre :

• dayporto.com et tous les sous-domaines (*.dayporto.com)
• La PWA mobile
• L'API OpenAPI / REST sous /admin/api/*

Hors périmètre:

• Services tiers que nous utilisons (Mollie, Meta/WhatsApp, Moneybird)
• Attaques sur les environnements clients (par ex. leur propre sous-domaine) — à signaler à ce client
• Ingénierie sociale, attaques physiques, DDoS
• Constats de bonnes pratiques sans impact réel (enregistrement SPF manquant, self-XSS sans contexte, etc.)

Safe harbor

Si vous respectez cette politique :

• nous n'engagerons aucune action en justice,
• nous participons à la coordination envers les tiers concernés,
• nous vous créditerons (facultatif) dans notre hall of fame.

En échange, nous vous demandons:

• ne pas exfiltrer de données clients — arrêtez dès que vous avez un accès confirmé ;
• pas de DoS/DDoS ni de force brute sur la production ;
• ne pas divulguer publiquement d'exploits avant que nous ayons eu 90 jours ;
• tester uniquement sur vos propres comptes ou des comptes de test fournis spécialement à cet effet.

Bug bounty

Pour les signalements qualifiés, nous versons une récompense via notre programme de bug bounty chez Zerocopter / Intigriti. Montants:

• Critique (RCE, contournement d'authentification, accès aux données inter-locataires) : € 2.000 – 7.500
• Élevé (élévation de privilèges, XSS stocké avec impact sur les données) : € 500 – 2.000
• Moyen (CSRF sur action sensible, IDOR sans bulk) : € 100 – 500
• Faible (divulgation d'informations, XSS réfléchi sur une page anonyme) : € 50 – 100

Les montants sont indicatifs ; la gravité est déterminée selon CVSS 3.1 et l'impact réel. Les doublons et les problèmes hors périmètre ne sont pas pris en compte.

SLA de réponse

• Confirmation de votre signalement : sous 3 jours ouvrés.
• Triage initial et prochaines étapes prévues : sous 7 jours ouvrés.
• Divulgation coordonnée : sur accord, 90 jours par défaut.

Contact

Signaler une vulnérabilité   security.txt

E-mail: [email protected] (clé PGP sur demande).