Programme de primes aux bugs de Tiquo
Nous accueillons les signalements responsables de vulnérabilités vérifiées manuellement et remercions les chercheurs qui contribuent à protéger Tiquo.
Fonctionnement
Vous découvrez une vulnérabilité potentielle dans un produit Tiquo.
Vous envoyez un rapport détaillé à notre équipe de sécurité.
Nous examinons le rapport en interne sous 24 heures ; la réponse formelle peut suivre plus tard.
Notre équipe analyse, reproduit et classe le problème.
Nous vous communiquons le classement et le montant de la prime.
Le paiement est effectué dans les 30 jours suivant le classement.
Tiquo détermine la gravité et la prime après une évaluation individuelle de l'impact réel, de l'exploitabilité et de la portée.
Comme nous recevons des centaines de faux signalements générés par IA, nous nous réservons le droit de rejeter ou de ne pas répondre aux signalements qui ne fournissent aucune information réelle ou utile.
Toute recherche de vulnérabilités dans le cadre du programme de bug bounty sur un compte Tiquo en production nécessite l’accord écrit préalable de Tiquo. Toute activité ciblant ces comptes sans cet accord entraînera le refus de toute récompense, quelles que soient vos découvertes.
Éléments couverts
Le programme couvre les éléments suivants :
- tiquo.co
- Points de terminaison de l'API Tiquo
- Applications mobiles Tiquo pour iOS et Android
- Application web et tableau de bord tiquo.app
- Parcours d'authentification et d'autorisation
- Traitement des paiements et des données
- Matériel Tiquo
Éléments non couverts
Les cas suivants ne donnent droit à aucune prime :
- Services ou intégrations tiers n'appartenant pas à Tiquo
- Ingénierie sociale ou hameçonnage visant les employés ou les clients de Tiquo
- Attaques par déni de service (DoS/DDoS)
- Spam ou limitation de débit sans impact direct sur la sécurité
- Projets isolés sans données sensibles ni informations client
- Vulnérabilités nécessitant un navigateur ou une plateforme obsolète
- Problèmes déjà signalés ou déjà connus
- Rapports automatisés, spéculatifs ou générés par IA sans preuve fonctionnelle vérifiée manuellement
- En-têtes de sécurité manquants, messages d’erreur ou détails internes inoffensifs, clickjacking sur des pages non sensibles, divulgation de versions, logiciels obsolètes sans exploit fonctionnel et failles XSS ou CORS théoriques sans impact de sécurité démontré.
Niveaux de prime
Seules les vulnérabilités reproductibles ayant un impact de sécurité démontré peuvent être récompensées. La gravité dépend de l’impact prouvé et de l’exploitabilité, et non du nom de la vulnérabilité ou de la note d’un scanner. Les signalements sans impact significatif ne donnent lieu à aucun paiement.
Compromission avérée de systèmes essentiels en production avec un impact étendu.
Exploit fonctionnel démontré avec un impact de sécurité substantiel.
Failles exploitables ayant un impact significatif mais limité. Les récompenses supérieures exigent un impact Élevé ou Critique avéré.
Vulnérabilités mineures et reproductibles ayant un impact de sécurité faible mais démontrable.
Primes supplémentaires
Un rapport exceptionnellement clair, un impact étendu, une chaîne d'exploitation ingénieuse ou une étroite collaboration lors de la correction peuvent donner lieu à une prime supérieure.
Consignes de signalement
Pour nous aider à enquêter rapidement, indiquez :
- 1Une description claire de la vulnérabilité
- 2Les étapes précises pour la reproduire
- 3L'URL, le point de terminaison ou l'écran concerné
- 4Votre environnement de test, navigateur, système et appareil
- 5Des captures ou du code de démonstration si possible
- 6Votre estimation de l'impact potentiel
Signalez une seule vulnérabilité par rapport et envoyez des rapports distincts pour des problèmes différents.
Règles de participation
- 1N'accédez pas aux données d'autres utilisateurs, ne les modifiez pas et ne les supprimez pas.
- 2Ne lancez aucun outil d'analyse automatisé contre les systèmes de production sans accord écrit préalable.
- 3Ne divulguez publiquement aucune vulnérabilité, aucun rapport, aucune preuve ni aucun détail associé.
- 4N’utilisez ni IA ni modèle de langage pour rédiger le rapport. Nous attendons une recherche originale fondée sur vos propres tests manuels ; les signalements spéculatifs ou non vérifiés seront refusés.
- 5Agissez toujours de bonne foi.
Protection des chercheurs
Les chercheurs agissant de bonne foi et respectant ces règles ne feront l'objet d'aucune action en justice de Tiquo. Le programme est proposé à la discrétion de Tiquo ; nous pouvons le modifier ou y mettre fin et nos décisions sont définitives.
Contact
Envoyez vos rapports à :
security@tiquo.coChaque rapport est examiné en interne sous 24 heures. La réponse formelle peut prendre plus de temps ; une première évaluation est prévue sous 10 jours ouvrés. Merci de ne pas relancer sur son état.