Programme de bug bounty.
Cyril mène un programme de divulgation coordonnée des vulnérabilités. Nous accueillons les signalements des chercheurs en sécurité agissant de bonne foi et nous nous engageons à ne jamais poursuivre quiconque respecte cette politique.
Comment signaler
Écrivez à security@getcyril.com. Un seul message contenant ces cinq éléments nous permet de reproduire le problème dès la première lecture.
Merci d’inclure
- Une description claire de la vulnérabilité et de son impact potentiel
- Les étapes de reproduction, idéalement avec une preuve de concept minimale
- Les URL, points de terminaison et contexte de compte concernés
- Votre estimation CVSS et le niveau de gravité (nous l’ajusterons si besoin)
- Si vous souhaitez être cité publiquement, et sous quel nom
Nous accuserons réception sous 2 jours ouvrés. Sans réponse de notre part dans ce délai, merci de renvoyer votre message — il a pu être filtré.
Gravité et délais de réponse
| Gravité | CVSS v3.1 | Exemples | Première réponse visée |
|---|---|---|---|
| Critique | 9.0–10.0 | Exécution de code à distance ; compromission complète de la base de données ; exposition de données entre clients ; contournement du parcours de paiement | 24 heures |
| Élevée | 7.0–8.9 | Élévation de privilèges authentifiée ; SSRF atteignant des services internes ; contournement de l’authentification sur un point de terminaison | 48 heures |
| Moyenne | 4.0–6.9 | XSS stockée dans une interface authentifiée ; CSRF sur un point de terminaison qui modifie l’état ; IDOR à portée limitée | 5 jours ouvrés |
| Faible | 0.1–3.9 | XSS réfléchie nécessitant une interaction de la victime ; limites de débit manquantes sans scénario d’abus ; fuites d’informations sans gravité | 10 jours ouvrés |
Il s’agit de délais de premier tri, pas de délais de correction. Nous communiquerons un calendrier de correction dès que le problème est reproduit et circonscrit. Ce sont des objectifs : l’engagement que nous tiendrons, c’est l’accusé de réception ci-dessus — sous 2 jours ouvrés, quelle que soit la gravité. Cyril est une petite équipe sans astreinte 24 heures sur 24, et nous préférons vous le dire plutôt que d’afficher un chiffre que nous ne pourrions pas toujours tenir.
Dans le périmètre
Les hôtes sont listés tels quels. Un hôte absent de cette liste est hors périmètre.
app.getcyril.comInterface de l’application interneapi.getcyril.comAPI REST publique + points de terminaison d’audit MCPadmin.getcyril.comInterface d’administration de la plateformeportal.getcyril.comInterface du portail clientgetcyril.comCe site, y compris ses points de terminaison de collecte de contacts et de signalement*.getcyril.comLes sous-domaines d’organisation, dès qu’ils seront disponibles. Tout hôte portant le suffixe -staging est exclu — voir ci-dessous.Hors périmètre
- Les découvertes visant des environnements de préproduction ou de développement (
*-staging.getcyril.com) - Les services tiers dont nous dépendons — signalez-les directement à l’éditeur concerné
- L’ingénierie sociale visant le personnel, les clients ou les fournisseurs
- Les attaques physiques contre les locaux, le matériel ou le personnel
- Les attaques par déni de service ou volumétriques
- Le spam, l’hameçonnage ou tout ce qui entre en contact avec des tiers non consentants
- Les découvertes reproductibles uniquement avec des identifiants obtenus par force brute ou des jetons volés
- Les vulnérabilités touchant les utilisateurs de navigateurs obsolètes (nous prenons en charge les deux dernières versions majeures de Chrome, Firefox, Safari et Edge)
- Le self-XSS, les en-têtes de sécurité manquants sans impact démontré, les limites de débit manquantes sans scénario d’abus
- Les signalements fondés sur des résultats de scanners automatisés sans preuve de concept fonctionnelle
Protection juridique
Dès lors que vous agissez de bonne foi et respectez cette politique, Cyril considère vos recherches comme une démarche autorisée. Nous n’engagerons aucune poursuite contre vous — notamment au titre du Computer Misuse Act 1990 (Royaume-Uni), du Computer Fraud and Abuse Act (États-Unis) ou de toute législation analogue dans d’autres juridictions — et nous collaborerons si nécessaire avec nos sous-traitants ultérieurs et les autorités pour garantir cette protection.
En contrepartie, vous vous engagez à :
- Arrêter vos tests dès que la vulnérabilité est confirmée — ne pas extraire plus de données que le strict nécessaire pour en démontrer l’impact.
- Ne pas consulter, modifier ni détruire de données appartenant à d’autres utilisateurs ou organisations.
- Ne pas interrompre le service pour d’autres utilisateurs.
- Ne pas divulguer publiquement la vulnérabilité avant que nous ayons eu une possibilité raisonnable de la corriger (en général 90 jours, avec des prolongations convenues par écrit pour les corrections complexes).
- Respecter toutes les lois applicables.
Reconnaissance
Le programme de Cyril repose pour l’instant uniquement sur la reconnaissance. Avec votre accord, nous citons publiquement les auteurs de signalements sur cette page une fois le correctif déployé et un délai de divulgation raisonnable écoulé.
Nous étudions la mise en place de primes à mesure que la plateforme mûrit. Le jour où elles arriveront, la grille des récompenses figurera ici, avec des montants minimaux explicites par niveau de gravité et des règles d’éligibilité des vulnérabilités — et les auteurs d’un signalement éligible antérieur à ce changement seront indemnisés rétroactivement.
La sécurité, la localisation des données et la couche IA sont traitées dans le Centre de confiance.
Centre de confiance