Politique de divulgation des vulnérabilités

Envoyez votre signalement à security@arpe.io, en français ou en anglais. Si vous estimez le problème critique, indiquez-le dans l'objet.

Merci d'inclure, dans la mesure du possible :

• le produit et la version (par ex. FastBCP 1.4.1) ainsi que le système d'exploitation ;
• une description de la vulnérabilité et de son impact potentiel ;
• les étapes de reproduction, une preuve de concept ou un exemple de configuration (sans identifiants réels ni données client) ;
• la manière dont vous souhaitez être crédité, ou si vous préférez rester anonyme.

• Nous accusons réception de votre signalement sous 2 jours ouvrés.
• Nous vous transmettons une première analyse (confirmée ou non, sévérité) sous 10 jours ouvrés.
• Nous vous tenons informé de l'avancement et convenons avec vous de la date de publication.
• Une fois le correctif publié, nous publions un avis sur ce site et vous créditons, sauf si vous préférez rester anonyme.

Merci de nous laisser un délai raisonnable pour publier un correctif avant toute divulgation publique : 90 jours par défaut, que nous pouvons convenir de raccourcir ou d'allonger ensemble selon la complexité du correctif.

Dans le périmètre : FastBCP, FastTransfer, MigratorXpress, LakeXpress et les drivers ADBC d'Arpe.io, dans leur dernière version.

Hors périmètre : les vulnérabilités de dépendances tierces déjà listées dans nos rapports (sauf démonstration de leur exploitabilité dans notre produit), l'ingénierie sociale, les attaques physiques et les tests de déni de service.

Nous n'engagerons pas de poursuites contre les chercheurs agissant de bonne foi, qui respectent cette politique, n'accèdent pas à des données qui ne sont pas les leurs et ne perturbent ni nos services ni ceux de nos clients.