1. Introduction
Familiar s’engage à assurer la sécurité de sa plateforme, de son infrastructure et des données qui lui sont confiées par ses clients. Nous reconnaissons que les chercheurs en sécurité indépendants jouent un rôle précieux en nous aidant à identifier et à corriger les vulnérabilités potentielles.
Cette politique de divulgation des vulnérabilités décrit comment nous signaler des vulnérabilités de sécurité de manière responsable, ce que vous pouvez attendre de nous en retour, et les directives que nous vous demandons de suivre.
2. Périmètre
Cette politique s’applique aux vulnérabilités découvertes dans les actifs suivants détenus par Familiar :
- familiarhq.com — notre site web marketing
- app.familiarhq.com — notre application web et notre plateforme
- API — tout point de terminaison d’API publiquement accessible exploité par Familiar
Hors périmètre
Les éléments suivants sont considérés comme hors périmètre et ne doivent pas être testés ni signalés dans le cadre de cette politique :
- Les services, applications ou plateformes tiers intégrés à Familiar (par exemple, les prestataires de paiement, les intégrations PMS, les outils d’analyse). Les vulnérabilités dans les services tiers doivent être signalées directement au prestataire concerné.
- Les attaques d’ingénierie sociale (hameçonnage, vishing, etc.) visant les employés ou les clients de Familiar
- Les vulnérabilités de sécurité physique
- Les attaques par déni de service (DoS ou DDoS)
- Les analyses automatisées ou les attaques par force brute susceptibles de dégrader la disponibilité du service
- Les vulnérabilités dans des logiciels ou systèmes non détenus ni exploités par Familiar
3. Signaler une vulnérabilité
Si vous pensez avoir découvert une vulnérabilité de sécurité dans l’un de nos actifs dans le périmètre, veuillez nous la signaler à :
- E-mail : security@familiarhq.com
Pour nous aider à évaluer et résoudre le problème aussi rapidement que possible, veuillez inclure les informations suivantes dans votre signalement :
- Description : une description claire et détaillée de la vulnérabilité, y compris le type de problème (par exemple, XSS, injection SQL, contournement d’authentification, IDOR)
- Étapes de reproduction : des instructions étape par étape pour reproduire de manière fiable la vulnérabilité, y compris les URL, paramètres ou charges utiles spécifiques utilisés
- Captures d’écran ou preuve de concept : tout élément justificatif, tel que des captures d’écran, des enregistrements d’écran, des journaux de requêtes/réponses HTTP ou un script minimal de preuve de concept
- Évaluation de l’impact : votre évaluation de l’impact potentiel de la vulnérabilité, y compris les données ou fonctionnalités susceptibles d’être affectées
- Détails de l’environnement : le navigateur, le système d’exploitation et tout outil utilisé pendant vos recherches
Veuillez soumettre une seule vulnérabilité par signalement afin d’assurer un suivi et une résolution clairs.
4. Directives de divulgation responsable
Nous demandons à tous les chercheurs en sécurité de respecter les directives suivantes :
- Agir de bonne foi : menez vos recherches dans le but d’améliorer la sécurité, et non de causer du tort
- Éviter la destruction de données : ne supprimez, ne modifiez ni ne corrompez les données appartenant à Familiar ou à ses clients
- Ne pas accéder aux données d’autrui : si vous découvrez un accès à des données appartenant à d’autres utilisateurs ou clients, arrêtez immédiatement et signalez la découverte. Ne consultez, ne téléchargez, ne copiez ni ne stockez de telles données.
- Ne pas perturber les services : évitez les actions susceptibles de dégrader la disponibilité ou les performances de nos Services, y compris les attaques par déni de service, les analyses automatisées excessives ou les tentatives de force brute
- Préserver la confidentialité : ne divulguez pas publiquement la vulnérabilité avant que nous ayons eu une occasion raisonnable d’évaluer et de corriger le problème, et que nous ayons confirmé que la divulgation est appropriée
- Utiliser des comptes de test : dans la mesure du possible, utilisez vos propres comptes de test pour vos recherches. Ne ciblez pas les comptes appartenant à d’autres utilisateurs.
- Respecter les lois applicables : vos recherches doivent être conformes à toutes les lois et réglementations applicables
5. Protection juridique (« safe harbor »)
Familiar considère les recherches en sécurité menées conformément à cette politique comme autorisées et n’engagera pas de poursuites judiciaires contre les chercheurs qui :
- Agissent de bonne foi et dans le respect de cette politique de divulgation des vulnérabilités
- Évitent les atteintes à la vie privée, la destruction de données et la perturbation du service
- Signalent rapidement les vulnérabilités et nous accordent un délai raisonnable pour les corriger avant toute divulgation
Si, à un moment donné, vous avez un doute quant à la conformité de vos recherches à cette politique, veuillez nous contacter à security@familiarhq.com avant de poursuivre.
Cette protection juridique ne s’étend pas aux activités qui violent la loi applicable ou causent un préjudice à Familiar, à ses clients ou à des tiers.
6. Processus de réponse
Lorsque vous soumettez un signalement de vulnérabilité, vous pouvez vous attendre au processus suivant :
- Accusé de réception : nous accuserons réception de votre signalement dans un délai de 5 jours ouvrés.
- Évaluation : notre équipe de sécurité triera et évaluera la vulnérabilité signalée dans un délai de 15 jours ouvrés à compter de l’accusé de réception. Nous pourrons vous contacter pour obtenir des informations complémentaires durant cette période.
- Correction : si la vulnérabilité est confirmée, nous nous emploierons à la corriger en fonction de sa gravité. Les problèmes de gravité critique et élevée seront prioritaires pour une résolution immédiate.
- Notification de résolution : nous vous informerons lorsque la vulnérabilité aura été résolue et, le cas échéant, nous vous fournirons des détails sur le correctif.
Nous vous tiendrons informé de nos progrès tout au long du processus et nous nous efforcerons d’être transparents quant à notre évaluation et notre calendrier.
7. Reconnaissance
Nous apprécions les efforts des chercheurs en sécurité qui nous aident à maintenir la sécurité de Familiar. Avec votre permission, nous pourrons reconnaître publiquement votre contribution (par exemple, sur une page de remerciements de sécurité), sauf si vous préférez rester anonyme.
Veuillez noter que Familiar n’exploite pas actuellement de programme de prime aux bogues (bug bounty) et ne fournit pas de récompenses monétaires pour les signalements de vulnérabilités. Nous pourrons réexaminer cette position à l’avenir.
8. Modifications de cette politique
Nous pouvons mettre à jour cette politique de divulgation des vulnérabilités de temps à autre. Lorsque nous apportons des modifications, nous mettons à jour la date de « Dernière mise à jour » en haut de cette page. Nous vous encourageons à consulter cette politique avant de soumettre un signalement.
9. Droit applicable
Cette politique de divulgation des vulnérabilités est régie et interprétée conformément au droit français. Tout litige découlant de ou en lien avec cette politique sera soumis à la compétence exclusive des tribunaux français compétents.
10. Contact
Pour toute demande relative à la sécurité, tout signalement de vulnérabilité ou toute question concernant cette politique, veuillez nous contacter à :
- E-mail : security@familiarhq.com
- Courrier postal : Familiar SAS, 1663 rue de Majornas, 01440 Viriat, France — À l’attention de l’équipe sécurité