La sécurité de nos produits et services est notre priorité absolue. Cette politique de divulgation des vulnérabilités décrit comment signaler de manière responsable les failles potentielles dans nos services cloud. Nous accueillons les signalements provenant des chercheurs en sécurité, des clients et des partenaires, et nous nous engageons à collaborer avec vous pour traiter les résultats rapidement et en toute transparence.

Cette politique s’applique à :

• Plateforme SaaS entervo infinite
• Applications web et API sous le domaine *.scheidt-bachmann.net
• Portail E-Receipt sous le domaine *.receipt-parking.com

Hors du périmètre :

• Déploiements On-Premise gérés par le client de entervo.core
• Services et intégrations tiers qui ne sont pas exploités par Scheidt & Bachmann Parking Solutions
• Attaques d’ingénierie sociale, spam, attaques physiques, tests de déni de service (DoS/DDoS) ou outils d’analyse automatisés entraînant des interruptions de service

Si vous n’êtes pas sûr qu’un système soit inclus dans le périmètre, veuillez nous contacter avant de commencer les tests.

Si vous découvrez une vulnérabilité, veuillez :

• Nous envoyer un e-mail à security@scheidt-bachmann.net
• Chiffrer les informations sensibles avec notre clé PGP.
• Fournir des informations claires pour reproduire le problème :
  • Produit, service ou point de terminaison API concerné
  • Étapes pour reproduire
  • Impact potentiel
  • Proof-of-Concept (si sûr)
• Ne divulguez pas publiquement la vulnérabilité avant qu’elle n’ait été corrigée en coordination avec nous.

Nos engagements

Lorsque vous signalez une vulnérabilité de bonne foi et conformément à cette politique, nous nous engageons à :

• Accuser réception de votre rapport dans un délai de 5 jours ouvrables
• Fournir une première évaluation ou une mise à jour dans un délai de 10 jours ouvrables
• Collaborer avec vous sur un calendrier de divulgation coordonnée (généralement sous 90 jours, ajusté selon la gravité et la complexité de la correction)
• Vous accorder une reconnaissance sur notre page « Remerciements », si vous le souhaitez
• Ne pas engager d’action en justice pour des recherches menées de bonne foi et dans le cadre défini

Règles d’engagement

• Ne pas accéder ni tenter d’accéder aux données des clients.
• Ne pas perturber les services ni dégrader leur disponibilité.
• Ne pas utiliser d’outils d’analyse automatisés sans coordination préalable.
• Les tests doivent être limités aux comptes que vous possédez ou aux comptes de test explicitement fournis par nous.
• Ne pas exploiter une vulnérabilité au-delà de ce qui est nécessaire pour prouver son existence.

Safe Harbor

Nous considérons les activités de recherche en sécurité menées dans le cadre de cette politique comme autorisées. Si vos recherches respectent ces règles, nous n’engagerons pas d’action en justice contre vous.
Cette protection ne s’étend pas à :

• Actions malveillantes, abusives ou causant des dommages
• Violations de lois sans lien avec la recherche en sécurité

Récompenses

Actuellement, Scheidt & Bachmann Parking Solutions n’exploite pas de programme officiel de bug bounty. Cependant, nous apprécions les efforts des chercheurs en sécurité et pouvons, à notre discrétion, offrir une compensation ou une autre reconnaissance pour les rapports à fort impact. Tous les rapports valides peuvent être mentionnés sur notre page « Remerciements ».

Contact

E-mail : security@scheidt-bachmann.net

Clé PGP : www.scheidt-bachmann.net/.well-known/pubkey.txt