Sécurité et conformité

Divulgation responsable

Nous encourageons continuellement les chercheurs et les clients à signaler les vulnérabilités identifiées. Pour mieux protéger nos clients, les rapports restent confidentiels jusqu'à ce que les vulnérabilités soient confirmées, résolues et publiées en production par Devolutions. Nous nous efforçons de faire de notre mieux pour traiter les vulnérabilités dans un délai raisonnable et acceptable par l'industrie.

Périmètre du programme de bug bounty

Les produits et services suivants font partie du périmètre de notre programme de bug bounty :

• Devolutions Server

• Remote Desktop Manager (Windows)

• Devolutions Gateway

• Devolutions Cloud

• Devolutions Send

• Devolutions Portal et Devolutions Account

• Devolutions Crypto

• Le site Web et le blogue devolutions.net

Le périmètre complet, les règles et les exclusions sont décrits sur la page du programme sur YesWeHack.

Signaler un problème de sécurité

Bien que nous prenions soin de la sécurité de nos produits, la nature en évolution rapide et la complexité de la sécurité peuvent exposer involontairement notre logiciel ou notre infrastructure de support à des vulnérabilités. Si vous identifiez une telle vulnérabilité, veuillez nous envoyer votre rapport en temps opportun. Les vulnérabilités qui font partie du périmètre de notre programme de bug bounty doivent être signalées via notre programme YesWeHack; nous ne les acceptons pas par courriel. Pour les problèmes hors du périmètre du programme, écrivez-nous à security@devolutions.net. Le rapport doit inclure les éléments suivants :

• Une description claire de la vulnérabilité, de la façon de l'exploiter et de son impact sur la sécurité de l'application, de ses utilisateurs et de Devolutions.

• Les étapes complètes pour la reproduire, incluant au besoin des extraits de code, des charges utiles ou des commandes.

• Une preuve d'exploitation, comme des captures d'écran montrant l'exploit et son impact final.

• Des recommandations de correction, si possible et applicable.

Une fois soumis, accordez-nous un délai raisonnable pour vous fournir des retours. Notre équipe de sécurité doit :

• Reproduire et confirmer la vulnérabilité telle que décrite dans votre rapport.

• Établir un score de gravité selon CVSS 3.1.

• Considérer les recommandations de votre rapport et élaborer un plan d'action avec les équipes concernées.

• Maintenir la communication avec le rapporteur jusqu'à ce que le cas soit résolu.

Nous vous demandons gentiment de maintenir le rapport et son contenu confidentiels jusqu'à ce que les mesures correctives appropriées soient publiées en production. Veuillez également noter que l'exploitation abusive ou à des fins illégales, malveillantes ou autres de nature inappropriée d'une vulnérabilité signalée peut entraîner des poursuites judiciaires contre le rapporteur, ce qui pourrait entraîner une responsabilité civile ou pénale. Une action est considérée comme abusive ou inappropriée lorsque son objectif compromet des informations confidentielles liées aux clients ou internes de manière indue ou disproportionnée, ou lorsque cette action a un autre but que la démonstration d'une vulnérabilité.