Infrastructure, services Web, applications SMS-Activate

Règles de participation au programme Bug Bounty

Inscription et vérification

• Inscription: pour participer au programme, vous devez d'abord vous inscrire sur le site Web sms-activate.fr Fournissez votre compte Telegram pendant le processus d'inscription pour faciliter la communication ;
• Vérification: Vous devez passer par le processus de vérification pour recevoir des paiements. Des instructions détaillées vous seront envoyées via Telegram une fois votre rapport approuvé.

Fournir des rapports

• Étudier les règles : Avant de soumettre votre rapport, veuillez vous familiariser avec les règles de participation et les types de vulnérabilités qui peuvent être prises en compte ;
• Formulaire de déclaration : utilisez le formulaire sur la page sms-activate.fr/bugbountyForm pour soumettre votre rapport. Votre rapport doit contenir une description claire de la vulnérabilité, les étapes pour la reproduire, des preuves (captures d'écran, vidéos) et des recommandations pour la corriger ;
• Fichiers supplémentaires : joindre des fichiers supplémentaires pour confirmer la vulnérabilité si nécessaire ;

Processus de révision des rapports

Types de vulnérabilités

Vérification et confidentialité

Paiements

Normes éthiques

Annexe A

• SEC (les signalements sur ce type de vulnérabilité ne sont acceptés qu'en cas de niveau de criticité élevé ; le niveau de criticité est déterminé par notre spécialiste lorsque la vulnérabilité est confirmée) ;
• Tout type de vulnérabilités XSS, sauf pour Stored XSS (les rapports de vulnérabilité Stored XSS sont acceptés en fonction de l'importance de la ressource Web) ;
• Détournement de clics ;
• URI de redirection non sécurisé ;
• Liste des répertoires activée (mots de passe, sauvegardes) et Exposition aux données sensibles (en fonction des données divulguées ; les rapports sur cette vulnérabilité sont acceptés si des données critiques sont trouvées) ;
• Mode débogage activé, cela ne divulgue pas de données critiques ;
• vulnérabilités CSRF, trouvé dans une fonction qui n'est pas critique;
• Divulgation du panneau d'administration (si le chasseur de bogues trouve le tableau de bord d'administration, mais est incapable de prendre le contrôle du compte ou d'obtenir d'autres informations critiques) ;
• Énumération des utilisateurs sans divulguer de données critiques ;
• Mauvaise configuration de la sécurité, s'il n'y a aucune preuve que la menace s'est réalisée ;
• Refuser de fournir des services ;
• Courrier indésirable;
• Ingénierie sociale, destiné aux employés, sous-traitants ou clients ;
• Toute tentative physique d'accéder à la propriété ou aux centres de données
• Propriétaire du système ;
• Rapport créé à l'aide d'outils et d'analyses automatisés ;
• Erreurs dans un logiciel tiers ;
• Absence d'en-têtes de sécurité cela ne mène pas directement à une vulnérabilité ;
• Violation de la confiance SSL/TLS ;
• Vulnérabilités affectant uniquement les utilisateurs de navigateurs et de plateformes obsolètes ou sans licence ;
• Politiques de récupération de mot de passe et de compte, comme la date d'expiration d'un lien de réinitialisation ou la force du mot de passe ;
• Enregistrement DNS obsolète, pointant vers un système qui n’appartient pas au propriétaire du système.