Politique de divulgation responsable de Mimecast

Mimecast considère la protection des données de ses clients comme une responsabilité majeure et en fait sa priorité absolue, car nous souhaitons offrir à nos clients une expérience exceptionnelle à chaque étape de leur parcours. Nous prenons donc la sécurité de nos systèmes très au sérieux et apprécions sincèrement l’aide apportée par les chercheurs en sécurité et les autres membres de la communauté de la sécurité pour nous aider à préserver la sécurité de nos systèmes. Ensemble, nous pouvons améliorer les choses et trouver des solutions aux défis qui se présentent. Mimecast s’ouvre aux points de vue d’autrui afin de renforcer sa cyber-résilience. La divulgation responsable des failles de sécurité nous aide à garantir la sécurité et la confidentialité de tous nos utilisateurs. Si vous découvrez une faille, nous vous invitons à nous en faire part conformément à la présente politique afin que nous puissions résoudre le problème dans les meilleurs délais. Ensemble, nous pouvons atteindre nos objectifs grâce à la collaboration, à la communication et à la responsabilisation.

Pour plus d’informations sur nos certifications, veuillez consulter notre centre de confiance.

Directives relatives à la divulgation responsable

• Effectuez vos recherches uniquement dans le cadre défini par la présente politique ;
• Les clients de Mimecast doivent ouvrir un dossier pour tout signalement non lié à la sécurité.
• Pour nous aider à comprendre la nature et la portée de la vulnérabilité potentielle, rendez-vous sur https://bugcrowd.com/3905fe58-e58e-491d-87dc-a8a9264eb662/external/report et remplissez le formulaire en fournissant autant d’informations que possible. Une fois que vous avez terminé, cliquez sur « Signaler une vulnérabilité » pour envoyer votre rapport à Mimecast ;
• Veillez à ce que les informations relatives à toute vulnérabilité que vous avez découverte restent confidentielles entre vous et Mimecast jusqu’à ce que nous ayons disposé d’au moins 90 jours pour examiner et résoudre le problème. Il est important de noter que le délai nécessaire à l’examen et à la résolution d’un problème peut varier en fonction d’un certain nombre de facteurs, notamment la complexité de la faille de sécurité et le risque qu’elle peut présenter, entre autres ;
• Maintenez les canaux de communication ouverts afin de permettre une collaboration efficace ;
• Faites tout votre possible pour éviter toute atteinte à la vie privée, toute dégradation de l’expérience utilisateur, toute perturbation des systèmes de production et toute destruction de données lors des tests de sécurité

Ce que vous pouvez attendre de nous :

• Nous travaillerons avec vous pour comprendre et résoudre le problème afin de renforcer la protection de nos clients et de nos systèmes ;
• Si vous respectez les directives énoncées ci-dessus, nous n’engagerons ni ne soutiendrons aucune action en justice liée à vos recherches ;
• Nous nous efforcerons de répondre à votre signalement dans un délai de 3 jours ouvrés à compter de sa soumission
  
  

Dans le champ d'application

Hors champ d'application

Tous les services hébergés par des fournisseurs tiers sont exclus du champ d'application. Ces services comprennent :

• la base de connaissances Mimecast (kb.mimecast.com) ;
• Mimecast Academy (academy.mimecast.com) ;
• https://community.mimecast.com ;
• et tout autre service non explicitement mentionné dans la section « Champ d’application » ci-dessus.

Dans l’intérêt de la sécurité de nos clients, de notre personnel, d’Internet dans son ensemble, ainsi que de vous-même en tant que chercheur en sécurité, les types de tests suivants sont exclus du champ d’application :

• Toute tentative de modification ou de destruction de données ;
• les découvertes issues principalement de l’ingénierie sociale (par exemple, le phishing) ;
• les résultats provenant d’applications ou de systèmes non répertoriés dans la section « Champ d’application » ;
• Les vulnérabilités de type déni de service (DoS/DDoS) au niveau du réseau ou toute autre tentative visant à interrompre ou à dégrader les services proposés par Mimecast, y compris celles affectant la capacité des utilisateurs finaux à utiliser le service ;
• Toute tentative d’accès au compte ou aux données d’un utilisateur ;
• Et tout ce qui n’est pas autorisé par la législation applicable…
   

Vulnérabilités éligibles

Qu’est-ce qu’une « vulnérabilité éligible » ?

Les vulnérabilités des applications web telles que XSS, XXE, CSRF, SQLi, l’inclusion de fichiers locaux ou distants, les problèmes d’authentification, l’exécution de code à distance, les problèmes d’autorisation, l’escalade de privilèges et le clickjacking. La vulnérabilité doit se trouver dans l’un des services mentionnés dans la section « Champ d’application » ci-dessus. Vous devez être le premier chercheur à divulguer la vulnérabilité de manière responsable et vous devez respecter les directives de divulgation responsable énoncées dans la présente Politique, qui prévoient notamment de nous accorder un délai raisonnable pour remédier à la vulnérabilité. Nous conviendrons avec vous de ce délai raisonnable après la divulgation de la vulnérabilité.

Qu’est-ce qui ne constitue pas une « vulnérabilité éligible » ?

Bien que chaque signalement soit évalué au cas par cas, voici une liste de certains problèmes qui ne sont pas considérés comme des failles de sécurité :

• les problèmes liés au protocole TLS/SSL ;
• les configurations SPF, DMARC et DKIM ;
  l’absence d’en-têtes de sécurité ou de politiques de sécurité du contenu (CSP) ;
• Absence de CAPTCHA en tant que mécanisme de protection de sécurité ;
• Absence de drapeaux sur les cookies ;
• énumération des noms d'utilisateur ;
• Vulnérabilités dans les produits en fin de vie ;
• Possibilité d'intégrer une page dans un iFrame / clickjacking ;
• Injection HTML sans impact sur la sécurité ;
• Fonctionnalités de verrouillage de compte ou de limitation de débit ;
• Attaques CSRF sans aucun impact ou ne dépassant pas les limites des privilèges ;
• Fuites d’informations ou d’identifiants provenant de tiers et échappant au contrôle de Mimecast (par exemple, Google, Github, Pastebin, etc.) ;
• Liens sensibles contenus dans les e-mails relatifs aux produits Mimecast et indexés dans des services tiers lorsqu’ils sont divulgués par les clients, directement ou indirectement ;
• Utilisation d’une bibliothèque dont la vulnérabilité est connue, sans preuve d’exploitabilité ;
• Vulnérabilités tierces pour lesquelles aucun avis de sécurité n’a été publié ou a été publié récemment (moins de 30 jours) ;
• Les vulnérabilités qui ont déjà été signalées ou pour lesquelles un correctif est en cours ;
• Attaques de prise de contrôle de sous-domaines sans preuve ; un faux positif courant est smartlinggdn.mimecast.com ;
• Injections dans l'en-tête « Host » lorsque le vecteur d'attaque nécessite une attaque de type « man-in-the-middle » (MITM) ou lorsque l'en-tête n'est pas reflétée ;
• Exposition d’informations (par exemple, fichiers JavaScript, clés API – Google Maps), sauf s’il peut être prouvé que les données sont privées ;