Politique de divulgation des vulnérabilités

Blooo protège des entités critiques : nous appliquons à nous-mêmes ce que nous demandons à nos clients. Si vous pensez avoir trouvé une vulnérabilité sur un système de Blooo, merci de nous la signaler de façon responsable. Nous la traiterons avec sérieux et en toute confidentialité.

Périmètre

Inclus : blooo.io et www.blooo.io.
Exclus : les systèmes de nos clients et de nos fournisseurs (signalez-les directement à leurs propriétaires), les attaques par déni de service, l’ingénierie sociale et l’accès physique.

Comment signaler

Écrivez à security@blooo.io, en chiffrant votre message avec notre clé PGP si vous le pouvez (empreinte 07BF 3A24 6616 3EF6 CC90 412E 8618 0ECB E52C 6D61).
Décrivez la vulnérabilité, les étapes pour la reproduire, son impact supposé, et vos coordonnées si vous souhaitez être recontacté.
Ne joignez pas de données personnelles ou confidentielles obtenues lors de vos tests.
Vos coordonnées ne sont conservées que le temps de la résolution. Si vous préférez qu’elles soient supprimées dès réception de votre signalement, indiquez-le dans votre message (voir la politique de confidentialité).

Nos engagements

Accuser réception de votre signalement sous 2 jours ouvrés.
Vous faire un premier retour sur notre analyse sous 5 jours, puis vous tenir informé jusqu’à la correction.
Convenir avec vous d’une date de divulgation publique une fois la correction en place, au plus tard 90 jours après votre signalement.

Ce que nous vous demandons

Agir de bonne foi et ne tester que ce qui est nécessaire pour démontrer la vulnérabilité.
Ne pas accéder à des données qui ne sont pas les vôtres, ne pas les modifier ni les supprimer, et cesser vos tests dès qu’une donnée personnelle est exposée.
Ne pas divulguer la vulnérabilité avant sa correction et sans notre accord.

Cadre légal

Blooo n’engagera pas de poursuites contre une personne qui signale une vulnérabilité de bonne foi en respectant cette politique, dans les limites du droit français. Vous pouvez également signaler une vulnérabilité à l’ANSSI, dans le cadre de l’article L. 2321-4 du code de la défense.