Divulgation des vulnérabilités

Comment signaler un problème de sécurité dans Arc OS, ce que tu peux attendre de nous, ainsi que le périmètre et la protection accordée à la recherche menée de bonne foi.

Comment signaler

• Écris à [email protected]. Un seul problème par signalement.
• Indique ce que tu as trouvé, où (URL, point d'accès ou commit), les étapes pour le reproduire, l'impact et toute preuve de concept (proof of concept).
• Merci de ne pas divulguer publiquement le problème avant que nous l'ayons corrigé.

Ce que tu peux attendre de nous

• Nous accusons réception de ton signalement sous 5 jours ouvrés.
• Nous donnons une première évaluation (accepté, besoin de plus d'informations ou hors périmètre) sous 10 jours ouvrés.
• Nous te tenons informé tout au long de la correction et t'indiquons quand elle est en place.
• Avec ton accord, nous te créditons une fois le correctif déployé.

Périmètre

Dans le périmètre :

• arc-os.co et ses sous-domaines, l'application web et l'API d'Arc OS, ainsi que la CLI arc et son canal de mise à jour.

Hors périmètre :

• Les services tiers sur lesquels nous nous appuyons (par exemple Anthropic, Cloudflare, GitHub) : signale-les au fournisseur concerné.
• Les découvertes qui nécessitent un appareil compromis, un système d'exploitation rooté ou jailbreaké, ou un accès physique à la machine de quelqu'un.
• L'ingénierie sociale visant notre équipe ou nos utilisateurs, le spam et les dénis de service volumétriques.
• Les résultats de scanners automatisés sans impact exploitable démontré.

Protection accordée (safe harbor)

Nous n'engagerons ni ne soutiendrons aucune action en justice contre toi pour une recherche en sécurité menée de bonne foi qui respecte cette politique. Si tu :

• fais un effort de bonne foi pour éviter les atteintes à la vie privée, la destruction de données et l'interruption ou la dégradation du service,
• n'interagis qu'avec des comptes qui t'appartiennent ou que tu es explicitement autorisé à tester,
• n'accèdes pas aux données d'autres utilisateurs, ne les modifies pas et ne les conserves pas au-delà du strict minimum nécessaire pour démontrer le problème, et
• nous laisses un délai raisonnable pour corriger le problème avant de le divulguer publiquement,

alors nous considérons ta recherche comme autorisée, et nous travaillerons avec toi pour résoudre le problème rapidement. Si un tiers engage une action en justice contre toi pour une activité conforme à cette politique, nous ferons connaître cette autorisation.

Il ne s'agit pas d'un programme de primes aux bugs (bug-bounty) rémunéré. Nous n'offrons pas de récompenses financières à ce jour.

Questions

Écris à [email protected]. Voir aussi la Vue d'ensemble de la sécurité et le fichier security.txt à l'adresse /.well-known/security.txt.