Politique de divulgation responsable
En bref : vous avez trouvé une vulnérabilité sur un site ou un outil GothamTech ? Écrivez-nous avant d'en parler publiquement. Si vous respectez les règles ci-dessous, nous vous considérerons comme un allié, pas comme un attaquant.
Périmètre
Cette politique couvre :
- le présent site GothamTech ;
- neonflare.ca et l'outil NeonFlare ;
- les dépôts publics de github.com/gothamblood.
Hors périmètre : les services tiers que nous utilisons (hébergeur, Google, GitHub en tant que plateforme, etc.). Signalez leurs failles directement à leurs éditeurs. Les systèmes de nos clients ne sont jamais couverts par cette politique.
Comment signaler
Écrivez à gothambloodtech@gmail.com
avec pour objet [SECURITY], en indiquant :
- l'URL, le composant ou la version concernée ;
- le type de vulnérabilité et son impact potentiel ;
- les étapes pour la reproduire (preuve de concept, captures d'écran) ;
- vos coordonnées, et si vous souhaitez être remercié publiquement.
Ce qui est autorisé
- Tester uniquement ce qui est nécessaire pour démontrer la vulnérabilité ;
- utiliser vos propres comptes et données de test ;
- arrêter immédiatement et nous écrire si vous accédez à des données qui ne vous appartiennent pas.
Ce qui est interdit
- Le déni de service, les tests de charge ou tout ce qui dégrade le service ;
- l'ingénierie sociale, l'hameçonnage ou les attaques physiques ;
- la consultation, la modification, la copie ou la suppression de données de tiers ;
- le maintien d'un accès ou le pivot vers d'autres systèmes ;
- les scans automatisés massifs ;
- la divulgation publique avant la correction ou avant la fin du délai convenu ;
- toute demande de paiement en échange de la non-divulgation.
Nos engagements
- Accuser réception de votre signalement sous 5 jours ouvrables ;
- vous tenir informé de l'analyse et de la correction ;
- viser une correction dans les 90 jours, selon la gravité ;
- vous créditer publiquement si vous le souhaitez.
GothamTech n'offre pas de programme de récompense (bug bounty) pour le moment.
Protection juridique (safe harbor)
Si vous agissez de bonne foi et respectez cette politique, GothamBlood Technology considère vos recherches comme autorisées et n'engagera aucune poursuite contre vous à leur sujet. Cet engagement ne vaut que pour les systèmes du périmètre ci-dessus : il ne peut pas vous autoriser à tester des systèmes appartenant à des tiers.
Divulgation publique
Nous préférons une divulgation coordonnée : la vulnérabilité est rendue publique une fois corrigée, ou après 90 jours, à une date convenue ensemble.
Fichier security.txt
Ces informations sont aussi disponibles au format standard (RFC 9116) dans /.well-known/security.txt.
Responsible Disclosure Policy
In short: found a vulnerability on a GothamTech site or tool? Write to us before talking about it publicly. If you follow the rules below, we will treat you as an ally, not as an attacker.
Scope
This policy covers:
- this GothamTech website;
- neonflare.ca and the NeonFlare tool;
- the public repositories at github.com/gothamblood.
Out of scope: the third-party services we use (hosting provider, Google, GitHub as a platform, etc.). Report their flaws directly to their vendors. Our clients' systems are never covered by this policy.
How to report
Write to gothambloodtech@gmail.com
with the subject [SECURITY], including:
- the affected URL, component or version;
- the type of vulnerability and its potential impact;
- steps to reproduce it (proof of concept, screenshots);
- your contact details, and whether you would like public credit.
What is allowed
- Testing only what is needed to demonstrate the vulnerability;
- using your own accounts and test data;
- stopping immediately and writing to us if you access data that does not belong to you.
What is not allowed
- Denial of service, load testing or anything that degrades the service;
- social engineering, phishing or physical attacks;
- viewing, modifying, copying or deleting third-party data;
- maintaining access or pivoting to other systems;
- large-scale automated scanning;
- public disclosure before the fix or before the agreed deadline;
- any demand for payment in exchange for non-disclosure.
Our commitments
- Acknowledge your report within 5 business days;
- keep you informed of the analysis and the fix;
- aim for a fix within 90 days, depending on severity;
- credit you publicly if you wish.
GothamTech does not offer a bug bounty program at this time.
Safe harbor
If you act in good faith and follow this policy, GothamBlood Technology considers your research authorized and will not take legal action against you in relation to it. This commitment only applies to the systems in the scope above: it cannot authorize you to test systems belonging to third parties.
Public disclosure
We prefer coordinated disclosure: the vulnerability is made public once fixed, or after 90 days, on a date agreed together.
security.txt file
This information is also available in the standard format (RFC 9116) at /.well-known/security.txt.