Divulgation responsable

Nous accueillons volontiers les signalements des chercheurs en sécurité et de toute personne qui découvre une faiblesse dans www.mule.sh, le Mule Portal ou un système exploité par Mule. La présente politique explique comment effectuer un signalement et quels sont nos engagements. Nos coordonnées lisibles par machine se trouvent à l'adresse /.well-known/security.txt.

Comment effectuer un signalement

Écrivez à juastins@icloud.com en indiquant « Security » dans l'objet. Précisez :

• ce que vous avez trouvé et où (URL, système, composant) ;
• les étapes permettant de reproduire le problème, et toute preuve de concept ;
• l'impact tel que vous le comprenez ;
• comment nous pouvons vous joindre.

Les signalements en anglais, en néerlandais, en français ou en allemand sont acceptés.

Nos engagements

• Accuser réception de votre signalement dans un délai de 3 jours ouvrables.
• Vous tenir informé pendant notre enquête et la correction.
• Ne pas engager de poursuites judiciaires contre une recherche menée de bonne foi dans le respect de la présente politique.
• Vous mentionner, si vous le souhaitez, une fois le problème corrigé.

Nous vous demandons de

• Ne tester que vos propres comptes et données, sans accéder aux données d'autrui, ni les modifier, ni les supprimer.
• Ne pas effectuer de tests de déni de service, d'ingénierie sociale, d'attaques physiques ni d'envoi de spam.
• Nous laisser un délai raisonnable pour corriger le problème avant de le divulguer publiquement. Nous visons 90 jours ou moins.
• Vous arrêter et nous prévenir si vous accédez à des données à caractère personnel, à des dossiers clients ou à des identifiants.

Hors périmètre

Les systèmes clients hébergés par des tiers ; les signalements issus de scanners automatisés sans impact démontré ; l'absence d'en-têtes de bonnes pratiques sans exploitation démontrée ; les problèmes affectant des services tiers, qui doivent être signalés au fournisseur concerné.

Nous ne proposons pas, à ce jour, de programme de récompense rémunéré (bug bounty).