Politique de divulgation responsable

Si vous découvrez une faille de sécurité dans nos services ou nos sites, nous vous encourageons à nous la signaler immédiatement. Cette page précise ce qui est autorisé et ce qui ne l'est pas lors des tests de sécurité.

1 Introduction

Ce que nous autorisons (Allowed)

Rechercher des failles sans porter atteinte au système.
Effectuer des tests uniquement sur les pages publiques.
Tester les failles courantes (XSS, CSRF).
Transmettre les informations via les canaux officiels.

Ce que nous n'autorisons pas (Not Allowed)

Mener des attaques DDoS ou saturer le serveur.
Tenter d'accéder aux données des clients.
Tester les systèmes internes privés.
Provoquer une interruption du service.

4 Comment soumettre un rapport et canaux de communication

Le rapport doit comporter : une brève description, les étapes de reproduction (PoC) et l'impact potentiel.

E-mail: security@reit.sa

5 Engagements réciproques

Notre engagement : ne pas poursuivre les chercheurs de bonne foi, répondre sous 3 à 7 jours et saluer les contributions (Hall of Fame).
Engagement du chercheur : confidentialité totale, non-exploitation de la faille et signalement immédiat.