Politique de sécurité

1. Signaler une vulnérabilité

La sécurité de nos modules et de nos clients est essentielle. Nous encourageons les chercheurs en sécurité à analyser nos modules et à signaler toute vulnérabilité identifiée, conformément aux bonnes pratiques de divulgation responsable.

Nous nous engageons à identifier et corriger toute vulnérabilité, ainsi qu'à communiquer de manière transparente avec les parties concernées tout au long du processus.

Si vous pensez avoir découvert une vulnérabilité dans l'un de nos modules, vous pouvez la signaler de manière responsable à l'adresse suivante : support@hipresta.com

Veuillez fournir autant de détails que possible, notamment une description de la vulnérabilité, son impact potentiel, le module et la version concernés, ainsi que les étapes permettant de reproduire le problème.

2. Politique de gestion des vulnérabilités

Conformément à la charte TouchWeb pour une cybersécurité responsable, notre équipe applique les principes suivants :

En parallèle, nous prenons les engagements suivants afin de garantir une gestion responsable et éthique des vulnérabilités :

Nous sommes pleinement conscients que cette transparence est indispensable pour permettre aux tiers concernés (agences, marchands, etc.) de respecter leurs obligations de conformité, notamment dans le cadre de la norme PCI-DSS ou de l'une de ses versions simplifiées, comme SAQ-A.

• Accusé de réception de tout signalement pertinent sous 7 jours maximum (CVSS >= 4.0).
• Analyse d'impact et planification du correctif sous 30 jours maximum.
• Publication d'un avis de sécurité avec identifiant CVE si le score CVSS est >= 7.5.
• Aucun correctif ne sera publié silencieusement.
• Nous n'engagerons pas d'action juridique contre les chercheurs agissant de bonne foi, en particulier dans le cadre du programme YesWeHack géré par TouchWeb SAS.
• Aucun accord de confidentialité, y compris en contexte de marque blanche, ne fera obstacle à la publication transparente d'un avis de sécurité avec identifiant CVE, conformément aux bonnes pratiques du secteur.

3. Autorisation de publication

Nous autorisons expressément la société TouchWeb SAS à publier sur son site officiel les informations relatives aux vulnérabilités corrigées dans nos modules, conformément aux engagements de la charte de cybersécurité responsable.

Cette publication peut inclure :

• Un identifiant CVE associé à la vulnérabilité.
• Un avis de sécurité décrivant clairement le problème et sa résolution.
• Les versions affectées et la version contenant le correctif.
• Un correctif facile à appliquer lorsque les mises à jour sont difficiles à déployer.
• Toute information utile pour aider les utilisateurs et les agences à se protéger rapidement.

4. Divulgation

Vous trouverez ci-dessous la liste des vulnérabilités de sécurité connues et corrigées dans nos modules.

5. Contact

Pour toute question liée à la sécurité, contactez-nous à l'adresse suivante : support@hipresta.com