Politique de divulgation des vulnérabilités

Introduction

Chez GGWP, Inc., notre mission est de favoriser des communautés de joueurs sûres et inclusives. Nous accordons la plus grande importance à la sécurité de nos algorithmes de modération de contenu, aux données de nos clients et à la vie privée des joueurs.

Nous savons que la communauté de la sécurité joue un rôle essentiel dans la construction d’un Internet plus sûr. Nous apprécions les contributions des chercheurs en sécurité, des hackers éthiques et de la communauté des joueurs qui nous aident à identifier et à résoudre les problèmes de sécurité. Si vous pensez avoir découvert une vulnérabilité de sécurité dans notre plateforme, notre API ou nos SDK, nous vous encourageons à nous en informer dès que possible.

Protection juridique (Safe Harbor)

Nous considérons la recherche en sécurité et la divulgation de vulnérabilités comme des activités « autorisées » au regard du Computer Fraud and Abuse Act (CFAA), du DMCA et des autres lois applicables contre le piratage informatique, à condition que vous respectiez cette politique.

Nous nous engageons à ne pas engager ni soutenir d’action en justice à votre encontre en cas de manquement accidentel et de bonne foi à cette politique.

Toutefois, cette protection juridique ne s’étend pas aux cas suivants :

• Rançon ou extorsion : exiger un paiement en échange de la non-divulgation ou de la correction de la vulnérabilité.
• Fraude : exploiter une vulnérabilité pour tromper notre système, nos employés ou nos clients afin d’en tirer un gain financier.
• Exfiltration de données : accéder intentionnellement à davantage de données que ce qui est strictement nécessaire pour établir une preuve de concept, les télécharger ou les transférer.
• Actions malveillantes : toute activité visant à compromettre l’intégrité ou la disponibilité de nos services (par exemple, détruire des données ou maintenir un logiciel malveillant en place).

Périmètre

Actifs inclus dans le périmètre

Nous vous demandons de concentrer vos tests sur les actifs détenus et exploités par GGWP, Inc. :

• Applications web : dashboard.ggwp.com
• Points de terminaison API : api.ggwp.com
• SDK clients : SDK officiels de GGWP, Inc. pour Unity et Unreal

Actifs à accès restreint (autorisation requise)

• Modèles de modération et IA : les tests d’inversion de modèle, d’extraction de données d’entraînement ou d’attaques adversariales contre nos modèles de machine learning sont strictement interdits sans autorisation écrite préalable.

Actifs hors périmètre

• Jeux de nos clients : il vous est strictement interdit de tester, de pirater ou de perturber les jeux vidéo, les serveurs ou l’infrastructure des studios de jeux qui utilisent nos services. Les tests doivent porter sur nos interfaces API, et non sur le client de jeu lui-même.
• Services tiers hébergés par des prestataires autres que GGWP, Inc. (par exemple, HubSpot ou l’infrastructure AWS sous-jacente au service sans compromission de la couche applicative).

Consignes et règles d’intervention

Pour bénéficier de la protection juridique, vous devez respecter les règles suivantes :

• Ne pas nuire : ne dégradez pas les performances de nos services (par exemple, par des attaques DoS/DDoS) et ne perturbez pas les fonctionnalités de modération dont bénéficient nos clients.
• Priorité à la vie privée : n’accédez pas aux données d’un compte qui ne vous appartient pas, ne les téléchargez pas et ne les modifiez pas. Si vous rencontrez des données permettant d’identifier une personne (PII), des historiques de discussion ou des enregistrements vocaux appartenant à d’autres personnes, arrêtez immédiatement et signalez la vulnérabilité.
• Interdiction de rebond : n’utilisez pas une vulnérabilité découverte pour accéder à des systèmes internes ou à d’autres environnements clients.
• Confidentialité : ne divulguez pas la vulnérabilité au public ni à des tiers avant de nous avoir laissé un délai raisonnable pour la corriger (voir la section « Politique de divulgation » ci-dessous).

Exclusions (vulnérabilités non admissibles)

Les problèmes suivants sont généralement considérés comme hors périmètre, sauf s’ils présentent un impact significatif sur la sécurité :

• Ingénierie sociale (phishing, vishing) visant nos employés ou nos clients.
• Attaques contre la sécurité physique de nos bureaux.
• Bugs UI/UX ou fautes d’orthographe.
• Absence de limitation du nombre de requêtes (sauf si elle représente une menace grave pour la disponibilité du service).
• Absence d’en-têtes de sécurité HTTP (sauf si un impact précis est démontré).
• Entrées adversariales soumises à l’IA qui entraînent simplement des classifications « incorrectes » (il s’agit d’un problème de qualité, et non d’une vulnérabilité de sécurité, sauf si cela conduit à une exécution de code ou à une fuite de données).

Comment signaler une vulnérabilité

Votre signalement doit inclure :

• Description : l’emplacement et la nature de la vulnérabilité.
• Étapes de reproduction : un guide clair, étape par étape, ou un script de preuve de concept (PoC).
• Impact : la manière dont la vulnérabilité pourrait être exploitée et les données ou systèmes exposés.

Nos engagements envers vous

Lorsque vous nous signalez une vulnérabilité, nous nous engageons à :

• Accuser réception : nous accuserons réception de votre signalement sous 3 jours ouvrés.
• Examiner : nous évaluerons la priorité du signalement et confirmerons la validité de la vulnérabilité sous 10 jours ouvrés.
• Communiquer : nous vous tiendrons informé de nos avancées.

Délais de correction visés

Nous nous efforçons de corriger les problèmes en fonction de leur gravité. Nos objectifs de correction sont définis comme suit, sous réserve d’efforts commercialement raisonnables :

Politique de divulgation

Nous adhérons au principe de divulgation coordonnée des vulnérabilités. Vous n’êtes autorisé à publier vos conclusions qu’une fois l’une des conditions suivantes remplie :

• Nous vous avons informé que la vulnérabilité a été corrigée ; OU
• 90 jours se sont écoulés depuis votre signalement initial et nous n’avons pas demandé de prolongation en raison de la complexité du correctif.

Exceptions aux délais habituels de divulgation

• Divulgation accélérée : si une vulnérabilité est activement exploitée dans des attaques réelles (une « 0-day »), nous pouvons convenir d’un délai de divulgation plus court afin d’alerter la communauté.
• Divulgation différée : si une vulnérabilité touche un écosystème complexe (par exemple, une dépendance tierce nécessitant un correctif en amont de la part d’un fournisseur), nous pouvons demander une prolongation au-delà de 90 jours afin de nous assurer que l’ensemble de l’écosystème concerné est corrigé avant la divulgation publique.

Récompenses et reconnaissance

Nous sommes très reconnaissants envers les chercheurs en sécurité qui nous aident à protéger l’écosystème du jeu vidéo. Il est toutefois important de préciser la nature de notre programme pour éviter tout malentendu.

Aucune récompense financière

Il s’agit actuellement d’un programme de divulgation de vulnérabilités (VDP), et non d’un programme de Bug Bounty rémunéré. Nous n’offrons pour le moment ni compensation financière ni récompense en espèces pour les signalements de vulnérabilités. Merci de ne pas soumettre de signalement dans l’attente d’un paiement ni d’exiger une rémunération comme condition à la communication des détails d’une vulnérabilité.

Notre gratitude

Même si nous ne pouvons pas offrir de primes en espèces, nous apprécions votre contribution et sommes heureux de proposer les marques de reconnaissance suivantes pour les signalements valides présentant un impact important :

• Tableau d’honneur : avec votre autorisation, nous publierons votre nom et un lien vers votre profil sur notre tableau d’honneur dédié à la sécurité.