La sécurité de Pierrr protège les applications et les données de nos clients. Si vous pensez avoir trouvé une faille, merci de nous la signaler de bonne foi et de nous laisser le temps de la corriger. Cette page décrit comment faire et ce que nous vous promettons.
Périmètre
Sont dans le périmètre : le site pierrr.com, le tableau de bord app.pierrr.com, l'API api.pierrr.com, le point d'entrée des agents et le logiciel Pierrr Agent. Sont hors périmètre : les applications hébergées par nos clients (signalez-les au client concerné), les services de tiers, et les tests qui dégradent le service, notamment les attaques par déni de service, les volumes de requêtes excessifs, l'ingénierie sociale, le hameçonnage de notre équipe et les accès physiques.
Comment signaler
Écrivez à team@pierrr.com avec « Sécurité » en objet. Indiquez : la nature de la faille, les étapes pour la reproduire, l'impact que vous estimez, les éléments qui la prouvent (sans données réelles de clients), et vos coordonnées si vous souhaitez une réponse. N'ajoutez pas de données personnelles de tiers à votre rapport.
Règles à respecter
- Testez uniquement avec vos propres comptes et vos propres projets.
- N'accédez pas aux données d'un autre client, ne les modifiez pas, ne les supprimez pas. Si vous y accédez par accident, arrêtez, ne les copiez pas et prévenez-nous.
- N'utilisez pas la faille au-delà de ce qui est nécessaire pour démontrer son existence.
- Ne dégradez pas le service et ne le rendez pas indisponible pour d'autres.
- Ne divulguez pas la faille publiquement avant qu'elle soit corrigée ou que le délai convenu soit écoulé.
Nos engagements
- Nous accusons réception de votre rapport sous 5 jours ouvrés.
- Nous vous tenons informé de l'avancement et nous vous disons quand la faille est corrigée.
- Nous n'engageons pas de poursuites contre une personne qui a agi de bonne foi et dans le respect de ces règles, et nous ne demanderons pas à des tiers de le faire pour notre compte. Nous ne pouvons pas engager les tiers dont les services pourraient être concernés.
- Avec votre accord, nous citons votre contribution une fois la faille corrigée.
Nous ne proposons pas de récompense financière à ce stade.
Divulgation coordonnée
Nous demandons un délai raisonnable pour corriger, de 90 jours au plus à compter de notre accusé de réception, sauf accord d'un autre délai. Si la faille est déjà exploitée ou touche gravement d'autres clients, nous agissons plus vite et nous vous en informons.