Politique de divulgation des vulnérabilités

Version 2026-10-12

Nous voulons être informés des problèmes de sécurité de SnagBane. Si vous pensez en avoir trouvé un, merci de nous le dire d’abord en privé, afin que nous puissions le corriger avant qu’il ne soit public.

Comment signaler

Écrivez à support@snagbane.com avec « Security » dans l’objet. Merci d’indiquer :

  • la version et l’édition de SnagBane (Paramètres → Système & mises à jour affiche les deux) et son mode d’installation (Docker, VPS, cPanel) ;
  • ce qu’un attaquant peut faire, et les étapes ou une courte preuve de concept pour le reproduire ;
  • s’il faut un compte, et avec quel rôle ;
  • si et comment vous souhaitez être crédité.

Merci de ne pas ouvrir de ticket public ni de publier de détails avant qu’un correctif soit disponible. Les coordonnées lisibles par machine se trouvent dans /.well-known/security.txt.

Nos engagements

  • Nous accusons réception de votre signalement sous 5 jours ouvrés.
  • Nous vous tenons informé au moins tous les 14 jours jusqu’à la résolution du problème.
  • Nous visons un correctif sous 7 jours pour les problèmes critiques confirmés et sous 30 jours pour les problèmes graves, plus tôt s’ils sont exploités.
  • Nous mentionnons le correctif dans les notes de version de la mise à jour et vous y créditons si vous le souhaitez.
  • Nous convenons avec vous du moment où les détails sont publiés – après la sortie du correctif, ou 90 jours après votre signalement si nous ne l’avons pas corrigé d’ici là, sauf accord contraire.

Nous ne proposons pas de bug bounty rémunéré.

Périmètre

Dans le périmètre : le logiciel SnagBane (packages gratuit et payant, dernière version), le site snagbane.com et les services de mise à jour et de licences de SnagBane.

Hors périmètre : les installations SnagBane d’autres organisations – signalez-les à l’organisation qui les exploite ; les problèmes qui supposent un serveur ou un compte administrateur compromis ; un renforcement manquant que l’administrateur contrôle (par exemple un paramètre désactivé) ; le déni de service et les tests de charge ; l’ingénierie sociale ; et les services tiers comme Microsoft 365, Google, Freemius ou Cloudflare.

Tests de bonne foi

Testez sur votre propre installation – le code serveur de SnagBane est livré lisible pour que vous puissiez l’examiner et le tester (contrat de licence, section 2.3). Sur notre site et nos services, utilisez uniquement vos propres comptes et un rythme de requêtes normal ; n’accédez pas aux données d’autrui, ne les modifiez pas et ne les conservez pas, et arrêtez-vous pour signaler dès que vous en voyez. Nous n’engagerons aucune poursuite contre des recherches menées de bonne foi dans le cadre de cette politique.

Après une mise à jour

Les correctifs de sécurité sont livrés comme des mises à jour normales. Les administrateurs les installent depuis Paramètres → Système & mises à jour → Mises à jour ; chaque paquet est signé et vérifié avant d’être installé.