Politique de divulgation responsable

La sécurité est au cœur de tout ce que nous faisons chez DSwiss AG. Malgré tous nos efforts, des vulnérabilités peuvent subsister. Si vous avez découvert une faille de sécurité dans l'un de nos systèmes, nous vous remercions de nous la signaler de manière responsable. Nous nous engageons à collaborer avec les chercheurs en sécurité pour vérifier et corriger les problèmes signalés.

Périmètre

Cette politique s'applique aux systèmes suivants exploités par DSwiss AG :

• www.securesafe.com et l'application web SecureSafe
• Les applications mobiles SecureSafe (iOS et Android)
• L'extension de navigateur SecureSafe
• L'application de bureau SecureSafe

Les systèmes exploités par des tiers ne relèvent pas de ce périmètre, même s'ils sont accessibles via un lien depuis nos services.

Hors périmètre

Les éléments suivants ne sont pas considérés comme des vulnérabilités qualifiantes et ne doivent pas être testés :

• Les attaques par déni de service (DoS/DDoS) ou les tests d'épuisement des ressources
• L'ingénierie sociale, le phishing ou les attaques physiques visant les employés, les bureaux ou les centres de données de DSwiss
• Le spam, ou les remarques sur la configuration SPF/DKIM/DMARC sans impact démontré
• Les vulnérabilités nécessitant des navigateurs ou plateformes obsolètes
• Le clickjacking sur des pages sans action sensible
• Les analyses automatisées générant un trafic important
• Les vulnérabilités dans des services tiers

Comment signaler une vulnérabilité

Merci de signaler toute vulnérabilité à security@dswiss.com.

Dans la mesure du possible, veuillez inclure :

• Une description de la vulnérabilité et de son impact potentiel
• Les étapes de reproduction (preuve de concept, captures d'écran ou scripts)
• Le système, l'URL ou la version de l'application concernés
• Vos coordonnées pour d'éventuelles questions de suivi

Vous pouvez signaler une vulnérabilité de manière anonyme ; toutefois, sans coordonnées, nous ne pourrons pas vous tenir informé de l'avancement.

Règles d'engagement

Lors de l'examen d'une vulnérabilité potentielle, nous vous demandons de :

• Ne pas accéder aux données d'autres utilisateurs, ni les modifier ou les supprimer. Si une vulnérabilité expose des données qui ne vous appartiennent pas, arrêtez immédiatement et signalez-le.
• Limiter les tests au strict minimum nécessaire pour démontrer la vulnérabilité (preuve de concept uniquement, sans exfiltration de données).
• Ne pas perturber nos services ni dégrader l'expérience de nos utilisateurs.
• Ne pas exploiter la vulnérabilité à votre propre profit ou à celui d'un tiers.
• Nous laisser un délai raisonnable pour y remédier avant toute divulgation publique (voir la divulgation coordonnée ci-dessous).

Nos engagements

• Nous accuserons réception de votre signalement dans un délai de 5 jours ouvrés.
• Nous fournirons une évaluation initiale et vous tiendrons informé de l'avancement de la correction.
• Nous corrigeons les vulnérabilités confirmées conformément à notre norme interne de gestion des correctifs. Les vulnérabilités critiques touchant des systèmes de production sont traitées dans les 48 heures suivant la disponibilité d'un correctif.
• Nous pratiquons la divulgation coordonnée : nous vous demandons de vous abstenir de toute divulgation publique pendant 90 jours à compter de votre signalement, ou jusqu'au déploiement d'un correctif, selon la première de ces échéances. Nous sommes disposés à convenir avec vous d'une publication coordonnée.

Safe harbor

DSwiss n'engagera aucune action en justice contre les chercheurs en sécurité qui, de bonne foi :

• respectent la présente politique et les règles d'engagement ci-dessus,
• signalent leurs découvertes rapidement et exclusivement à nous, et
• ne compromettent pas la confidentialité ou la sécurité de nos clients, ni la disponibilité de nos services.

Nous considérons que les recherches menées conformément à cette politique sont autorisées et bienvenues.

Reconnaissance

Nous n'exploitons actuellement pas de programme de bug bounty rémunéré. Avec votre accord, nous serons heureux de reconnaître publiquement les contributions significatives.

Notre gestion des vulnérabilités s'aligne sur les normes ISO/IEC 29147 (divulgation des vulnérabilités) et ISO/IEC 30111 (processus de traitement des vulnérabilités) et s'inscrit dans notre système de management de la sécurité de l'information certifié ISO/IEC 27001. Les signalements peuvent également être coordonnés via le programme de divulgation coordonnée des vulnérabilités du Centre national pour la cybersécurité suisse (NCSC).