En résumé
- Envoyez en privé tout signalement de vulnérabilité suspectée dans CLIMB à security@begood.solutions.
- Cette politique couvre uniquement les applications mobiles, les applications web et l’API de production de CLIMB.
- Cette politique n’autorise pas les tests d’intrusion ou de sécurité ; obtenez d’abord une autorisation écrite.
- Les délais de réponse et de correction sont des objectifs indicatifs, non des garanties.
1. Signaler une vulnérabilité#
Si vous pensez avoir découvert une vulnérabilité de sécurité dans CLIMB, veuillez envoyer un e-mail à security@begood.solutions en mentionnant [SECURITY] dans l’objet. Indiquez le produit ou l’URL concerné, une description claire, les étapes permettant de reproduire le problème, l’impact potentiel ainsi que toute preuve de concept n’exposant aucune donnée réelle d’utilisateur.
N’incluez pas de mots de passe, de jetons d’authentification, d’informations personnelles ou de données clients dans votre signalement. Nous pourrons vous demander davantage de détails via un canal sécurisé.
2. Périmètre#
Cette politique couvre le service CLIMB actuellement en production :
- les applications CLIMB et CLIMB Coach pour iOS et Android ;
- les applications web de production sur app.climb.begood.solutions et coach.climb.begood.solutions ;
- l’API de production sur climb-api-13876340592.europe-west2.run.app.
Les environnements de test (staging) et de prévisualisation, les services tiers ainsi que les vulnérabilités nécessitant un appareil déjà compromis sont hors périmètre. Veuillez signaler les problèmes liés à des produits tiers directement à leurs fournisseurs.
3. Règles relatives aux tests#
Cette politique offre un moyen de signaler des vulnérabilités suspectées ; elle n’accorde pas l’autorisation de sonder, scanner ou tester CLIMB. Obtenez l’autorisation écrite préalable de BeGOOD Solutions Ltd avant d’effectuer tout test de sécurité, conformément à nos Conditions d’utilisation.
Si vous disposez d’une autorisation écrite, respectez-en le périmètre et les conditions. N’accédez pas aux données d’autrui, ne les modifiez pas et ne les supprimez pas ; ne perturbez pas les services ; n’utilisez pas d’ingénierie sociale et n’exécutez aucun test susceptible d’affecter d’autres clients. Arrêtez-vous immédiatement et signalez le problème si vous rencontrez des données personnelles ou des données de clients.
4. Étapes suivantes#
Nous nous efforçons d’accuser réception des signalements sous 3 jours ouvrés et de fournir une première évaluation sous 7 jours ouvrés. Notre objectif est de corriger les failles critiques confirmées sous 72 heures et les failles de gravité élevée sous 7 jours. Il s’agit d’objectifs et non d’échéances garanties ; les délais peuvent dépendre de la gravité, de la complexité et des vérifications de sécurité nécessaires.
Nous nous coordonnerons avec vous avant toute divulgation publique. Si vous souhaitez être crédité, précisez-le dans votre signalement ; nous ne mentionnerons votre identité qu’avec votre accord.
5. Contact#
Pour signaler une vulnérabilité, contactez security@begood.solutions. Pour toute autre assistance produit, écrivez à help@begood.solutions.