Sécurité et signalement de vulnérabilités

Nous prenons au sérieux la sécurité de payed.me et des données de nos utilisateurs. Si vous pensez avoir trouvé une vulnérabilité, nous voulons le savoir.

Comment signaler

Écrivez à support@payed.me avec « Security » dans l’objet. Merci d’indiquer :

• l’URL ou la fonction concernée ;
• des étapes claires pour reproduire le problème ;
• ce qu’un attaquant pourrait réellement obtenir, preuves à l’appui.

Nous nous efforçons d’accuser réception des signalements valides sous 5 jours ouvrés et vous tiendrons informé pendant la correction.

Règles pour une recherche de bonne foi

• Testez uniquement sur des comptes qui vous appartiennent ou que vous êtes autorisé à utiliser.
• N’accédez pas aux données d’autres utilisateurs, ne les modifiez pas et ne les supprimez pas. Si vous y accédez par accident, arrêtez-vous et prévenez-nous.
• N’effectuez pas d’attaques par déni de service, de spam ou d’ingénierie sociale, et ne testez pas la sécurité physique.
• Laissez-nous un délai raisonnable pour corriger un problème avant de le divulguer publiquement.

Si vous respectez ces règles, nous n’engagerons aucune action en justice contre vous pour vos recherches.

Prime aux bogues

Nous n’avons pas de programme de prime aux bogues rémunéré et ne payons pas les signalements non sollicités.Nous vous sommes reconnaissants pour toute divulgation responsable, mais les demandes de paiement, ou la rétention de détails jusqu’à un accord sur un paiement, ne changeront rien à la manière dont nous traitons un signalement.

Hors périmètre

Nous ne considérons pas les éléments suivants comme des vulnérabilités en soi :

• les rapports de scanners automatiques sans impact exploitable démontré ;
• le clickjacking sur des pages sans action sensible, ou l’absence d’en-têtes relevant des bonnes pratiques ;
• la configuration e-mail (SPF, DKIM, DMARC) et l’usurpation d’e-mail ;
• les problèmes nécessitant un appareil compromis, un accès physique ou un navigateur obsolète ;
• la limitation de débit ou la force brute sur des points d’accès hors authentification ;
• la divulgation de versions logicielles ou des messages d’erreur descriptifs ;
• les vulnérabilités des services tiers que nous utilisons, comme Stripe.