Comment signaler une vulnérabilité ou un problème de sécurité à Elo

Que doit contenir votre rapport

Pour nous aider à enquêter et à répondre rapidement, veuillez fournir les éléments suivants :

• Votre nom complet et vos coordonnées
  (Email préféré, mais tout moyen que nous pouvons utiliser pour un suivi est acceptable.)

• Description détaillée du problème, y compris :

  • Le nom du service, produit ou système Elo concerné

  • Le nom du logiciel, sa description et son numéro de version (si applicable)

  • Des instructions étape par étape pour reproduire le problème

  • Une description technique de la vulnérabilité (incluez une preuve de concept, si possible)

  • L'impact ou le risque potentiel posé par le problème

  • Toute autre information pertinente qui peut nous aider à valider et à résoudre la vulnérabilité

Politique de divulgation des vulnérabilités

Directives de signalement responsable

Elo valorise et encourage les contributions des clients et de la communauté au sens large pour aider à améliorer la sécurité de nos produits et services. Si vous identifiez une vulnérabilité potentielle, nous vous demandons d'agir de manière responsable et de suivre ces directives :

• Ne pas accéder, modifier, ou tester les systèmes, services, produits ou logiciels d'Elo sans autorisation appropriée.

• Ne pas divulguer, modifier, détruire ou mal utiliser les données rencontrées lors de votre enquête.

• Gardez toutes les informations liées au problème signalé strictement confidentielles, y compris les communications avec Elo.

• Évitez les attaques par déni de service (DoS) ou tout test qui pourrait impacter la disponibilité, l'intégrité ou la confidentialité des systèmes d'Elo.

• Ne pas vous engager dans l'ingénierie sociale, le phishing ou des activités similaires ciblant les clients ou employés d'Elo.

• Veuillez noter : Elo ne pas offrir de compensation pour le temps passé ou les vulnérabilités découvertes lors de tests ou recherches non sollicités.

Processus de réponse aux vulnérabilités

Elo suit un processus structuré pour évaluer et traiter les vulnérabilités de sécurité signalées.

Après l'accusé de réception initial, Elo fera des efforts raisonnables pour répondre dans un délai de 30 jours afin de confirmer si la vulnérabilité signalée a été :

• Validée et acceptée, ou
• Rejetée
  • Si la vulnérabilité est acceptée, Elo peut fournir une proposition de calendrier de mitigation non contraignante.
  • Si la vulnérabilité est rejetée, Elo fournira la raison du rejet et reste ouvert à l'examen de toute information supplémentaire fournie.

Une fois qu'une vulnérabilité est confirmée et acceptée, les ingénieurs d'Elo travailleront à développer des solutions matérielles et/ou logicielles appropriées.

Elo s'efforce de terminer l'analyse et de mettre en œuvre des solutions logicielles dans un délai de 90 jours après l'accusé de réception initial. Cependant, la publication réelle des solutions peut s'étendre au-delà de ce délai en raison de facteurs tels que :

• Les fournisseurs en amont ayant des délais de résolution de problèmes différents
• Des changements matériels ou architecturaux substantiels nécessaires
• Limitations liées au cycle de vie du produit ou aux ressources
• Intégration à travers de multiples canaux de distribution ou écosystèmes

À sa seule discrétion, Elo peut périodiquement publier des bulletins de sécurité pour informer le public des mitigations terminées pour les produits concernés.

Dernières mises à jour de sécurité