Signaler une vulnérabilité
Écrivez-nous à security@digismoothie.com en indiquant :
- une description du problème et de son impact potentiel,
- les étapes pour le reproduire (une preuve de concept est utile),
- l’application, l’URL ou l’endpoint concernés.
Nous nous efforçons d’accuser réception des signalements sous 5 jours ouvrés et de vous tenir informé tout au long de l’analyse et de la correction du problème.
Périmètre
Le périmètre couvre toutes les applications Shopify publiées par Digismoothie, ainsi que les sites web et services backend qui les font fonctionner.
Hors périmètre :
- les vulnérabilités de la plateforme Shopify elle-même – merci de les signaler via le programme de bug bounty de Shopify sur HackerOne,
- les boutiques Shopify, applications sur mesure et intégrations que nous réalisons pour les clients de notre agence (voir « Projets clients » ci-dessous),
- les attaques par déni de service, les tests de charge et le spam,
- l’ingénierie sociale ou le phishing visant notre équipe ou nos marchands,
- les signalements sans impact démontré sur la sécurité (par ex. résultats de scanners automatisés, en-têtes manquants, configuration SPF/DMARC des e-mails).
Règles de test
- Effectuez vos tests uniquement sur votre propre boutique de développement Shopify.
- N’accédez pas à des données qui ne vous appartiennent pas, et ne les modifiez ni ne les supprimez. Si vous tombez sur des données de marchands ou de clients, arrêtez-vous et prévenez-nous.
- Laissez-nous un délai raisonnable pour corriger le problème avant toute divulgation publique.
Projets clients
Les boutiques Shopify, applications sur mesure et intégrations que nous réalisons en tant qu’agence appartiennent à nos clients, qui les exploitent ; nous ne pouvons donc pas autoriser de tests de sécurité sur ces projets. Si vous découvrez une vulnérabilité dans l’un d’eux, n’allez pas plus loin dans vos tests, mais signalez-nous ce que vous avez trouvé à security@digismoothie.com. Nous coordonnerons la correction avec le client.
Remerciements
Nous ne proposons pas de programme de bug bounty rémunéré, mais nous apprécions les signalements responsables et serons heureux de vous citer publiquement une fois le problème résolu, si vous le souhaitez.
Comment nous protégeons les données des marchands
Les mesures techniques et organisationnelles que nous appliquons sont décrites à l’annexe 1 de notre accord de traitement des données. Pour savoir comment nous traitons les données personnelles, consultez notre politique de confidentialité.
Supervision de la sécurité
Les questions de sécurité sont supervisées par Tomáš Buzek, CTO.