Politique coordonnée de divulgation des vulnérabilités d'eLabNext

Ce que nous vous demandons

• Rester dans le champ d'application, utiliser https://sandbox.elabjournal.com ou https://preview-developer.elabnext.com/ pour vos tests.
• Envoyer un courriel de vos conclusions à sécurité@elabnext.com. Si vous souhaitez uniquement envoyer votre courrier électronique sous forme cryptée, veuillez nous en informer à l'adresse électronique ci-dessus. Nous vous enverrons des instructions sur la manière de nous envoyer des informations cryptées.
• Fournir des informations suffisantes pour reproduire le problème. En général, l'adresse IP ou l'URL et une description suffisent, mais les vulnérabilités complexes peuvent nécessiter des explications supplémentaires.
• Ne pas abuser ou exploiter la vulnérabilité ou le problème, par exemple en téléchargeant plus de données que nécessaire. Ou en consultant, supprimant ou modifiant les données d'autres personnes.
• Ne pas révéler le problème à d'autres jusqu'à ce qu'elle soit résolue. La fuite vous a permis d'obtenir des données confidentielles ? Supprimez-les dès que le problème est résolu.
• Ne pas utiliser d'attaques sur la sécurité physique, l'ingénierie sociale, le déni de service distribué, le spam ou les applications de tiers.

L'adresse électronique sécurité@elabnext.com ne peut être utilisé que pour des notifications de vulnérabilités dans nos mesures de sécurité. Toute autre question ou remarque relative à l'utilisation du site eLabNext ne recevra pas de réponse.

Ce que nous promettons

• Nous répondrons à votre rapport dans un délai de 3 jours ouvrables. Nous fournirons notre évaluation du rapport et une date de solution prévue. Nous classerons également la vulnérabilité comme faible, moyenne, élevée ou critique.
• Nous traiterons votre rapport avec une stricte confidentialité. Nous ne partagerons pas vos données personnelles avec des tiers, sauf si nous sommes légalement tenus de le faire. Vous pouvez également signaler un problème de manière anonyme.
• Nous vous garderons mise à jour des progrès de la solution au problème.
• Dans toute information publique concernant le problème, nous indiquerons votre nom en tant que découvreur du problème. Mais seulement si vous le souhaitez.
• Nous proposons une récompense pour tout premier signalement d'une vulnérabilité inconnue. La récompense exacte sera déterminée en fonction de la gravité de la vulnérabilité et de la qualité du rapport, allant d'une mention honorable à une récompense monétaire.
• Nous nous efforçons de résoudre toute vulnérabilité dans les meilleurs délais.

Si vous avez suivi les instructions ci-dessus, nous n'entreprendrons aucune action en justice contre vous en ce qui concerne le rapport.

Récompenses en fonction de la gravité