La protection de vos données est au cœur de BeSignal. Nous accueillons favorablement les signalements de chercheurs en sécurité et de toute personne qui découvrirait une vulnérabilité dans nos services.

Si vous menez vos recherches de bonne foi et dans le respect de cette politique, nous nous engageons à ne pas engager d'action en justice à votre encontre et à traiter votre signalement comme une contribution, et non comme une menace.

• Limitez-vous au strict nécessaire pour démontrer la vulnérabilité : n'exfiltrez, ne modifiez et ne supprimez aucune donnée.
• Utilisez exclusivement des comptes de test que vous créez vous-même. N'accédez jamais à un compte ou à des fichiers qui ne vous appartiennent pas.
• Ne dégradez pas le service et ne perturbez pas son fonctionnement normal.
• Laissez-nous un délai raisonnable pour corriger la faille avant toute divulgation publique (divulgation coordonnée).

BeSignal traite des documents et des enregistrements susceptibles de contenir des données personnelles, y compris des données sensibles. Si, au cours de vos recherches, vous accédez à des données personnelles réelles, arrêtez-vous immédiatement : ne les consultez pas, ne les copiez pas, ne les conservez pas et ne les transmettez pas.

Signalez-nous la situation sans délai en décrivant l'accès obtenu, sans inclure les données elles-mêmes. Détruisez toute donnée éventuellement récupérée dès que vous nous l'avez signalée.

Adressez votre signalement au contact ci-dessous. Notre fichier security.txt est disponible à l'adresse besignal.com/.well-known/security.txt.

Pour accélérer le traitement, incluez : une description de la vulnérabilité et de son impact, les étapes détaillées de reproduction, les URL, requêtes ou captures concernées, et tout élément permettant d'évaluer la gravité.

• Accusé de réception sous 3 jours ouvrés.
• Évaluation initiale et qualification de la gravité sous 10 jours ouvrés.
• Information régulière sur l'avancement de la correction.
• Objectifs de correction : critique sous 30 jours, élevée sous 60 jours, moyenne et faible selon planification.
• Divulgation coordonnée : nous convenons ensemble d'une date de publication une fois le correctif déployé.

Sauf démonstration d'un impact concret et exploitable, les éléments suivants ne sont généralement pas retenus :

• En-têtes de sécurité manquants sans exploitation démontrée.
• Configurations SPF / DKIM / DMARC.
• Divulgation de versions de logiciels, bannières ou messages d'erreur sans impact.
• Absence de limitation de débit sans impact démontré.
• Self-XSS, clickjacking sur des pages non sensibles.
• Rapports issus uniquement de scanners automatisés, sans validation manuelle.

BeSignal ne propose pas, à ce stade, de programme de récompense financière (bug bounty). Avec votre accord, nous serons heureux de vous créditer publiquement une fois la faille corrigée.