Vous avez trouvé une faille de sécurité ?

Merci de regarder de près. D'abord les règles du jeu, comme ça vous savez tout de suite à quoi vous en tenir.

Pas de récompense

Nous n'avons pas de programme de bug bounty et nous ne payons pas pour les signalements. Il n'y a pas non plus de récompense, de cadeaux ou de mention dans un hall of fame. Nous n'achetons pas d'audits ni de tests d'intrusion non sollicités. Les mails qui demandent une récompense ou un audit payant en échange d'une découverte restent sans réponse.

Comment signaler

Écrivez à info@brewersync.com avec l'objet « Signalement de sécurité ». Décrivez les étapes pour reproduire le problème, l'adresse concernée et ce qu'un attaquant peut en faire. Sans étapes reproductibles et sans impact clair, ce n'est pas un signalement. Néerlandais, anglais ou allemand, c'est bon.

Règles pour les tests

Tester sans notre autorisation écrite n'est pas autorisé. Cela veut dire : pas de scanners automatisés sur la production, pas d'ingénierie sociale, pas de déni de service et pas d'accès aux données d'autres personnes. Ne rendez rien public avant que nous ayons pu le corriger.

Ce que nous ne traitons pas

Nous ne traitons pas les rapports de scanners ou les listes de bonnes pratiques sans impact démontrable, et nous n'y répondons pas. Par exemple : en-têtes manquants, conseils sur SPF ou DMARC, clickjacking sur des pages sans action sensible, informations de version et limites sur des formulaires sans conséquence réelle.

Ce que nous faisons d'un vrai signalement

Un vrai signalement de bonne foi retient notre attention et nous agissons. Nous n'engageons aucune action en justice contre vous pour un signalement de bonne foi qui respecte ces règles.

Nos coordonnées figurent aussi dans security.txt.