Si vous pensez avoir trouvé une vulnérabilité dans Autonomous Relay Agents, nous voulons le savoir. Cette page est la politique de divulgation vers laquelle pointe /.well-known/security.txt.
Comment signaler
- Écrivez à
security@autonomousrelay.com, en français ou en anglais. - Chiffrez tout élément sensible avec notre clé OpenPGP, publiée à
https://autonomousrelay.com/.well-known/pgp-key.asc. Son empreinte est2932 0E19 F29A 1240 945B 1C0A 9BD9 8627 BA05 5050; vérifiez-la avant de chiffrer. - Indiquez ce que vous avez trouvé, les étapes ou la requête qui le reproduisent, ce qu’un attaquant pourrait en faire, et la façon dont vous souhaitez être cité.
Dans le périmètre
- L’API à
api.autonomousrelay.cometautonomousrelay.com/v1, y compris l’authentification, la gestion des clés, l’acheminement, le mesurage et la facturation. - Le tableau de bord à
autonomousrelay.com, y compris la connexion, les invitations, les rôles et les espaces de travail. - Tout ce qui permet à une organisation de lire ou de modifier les données, les clés ou les dépenses d’une autre.
Hors du périmètre
- Le déni de service, les tests de charge ou tout ce qui dégrade le service pour les autres.
- L’ingénierie sociale visant notre personnel ou nos clients, et les attaques physiques.
- Les vulnérabilités des fournisseurs de modèles eux-mêmes ; signalez-les au fournisseur.
- Les constats qui exigent un appareil compromis ou ne touchent qu’un navigateur périmé.
Règles de test
- N’utilisez que des comptes, des clés et des organisations que vous avez créés vous-même.
- Si vous accédez aux données d’un autre client, arrêtez, ne les conservez ni ne les partagez, et dites-nous ce que vous avez vu.
- Gardez un volume de requêtes faible ; chaque point d’accès est limité et vous serez ralenti.
- Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.
Refuge
La recherche menée de bonne foi et dans le respect de ces règles est autorisée. Nous n’intenterons aucune poursuite et ne demanderons à personne de le faire ; si un tiers le fait, nous ferons savoir que vous agissiez avec notre autorisation.
La suite
Nous accusons réception de chaque signalement, vous disons si nous pouvons le reproduire et vous tenons informé jusqu’à la correction. Nous citons les personnes qui le souhaitent une fois le correctif en ligne. Nous n’offrons pas de prime aux bogues rémunérée.