Politique de divulgation des vulnérabilités

En vigueur le [date de publication]

Comment signaler

Écrivez à info@plugincraft.ca. Pour une question urgente, par exemple des données exposées en ce moment, mettez « URGENT » au début de l’objet du message. Heures de la personne-ressource en sécurité : de 8 h à 17 h, heure de l’Est, du lundi au vendredi. La même personne-ressource figure dans notre fichier security.txt.

Veuillez inclure :

• ce que vous avez trouvé, la partie de TuneCraft touchée et pourquoi vous pensez que c’est un problème de sécurité;
• les étapes pour le reproduire, avec toute requête, capture d’écran ou preuve de concept utile;
• la version de l’application et le type de site Jira sur lequel vous avez fait vos essais;
• votre estimation de l’impact, et un score CVSS si vous en avez un;
• la façon dont vous souhaitez être remercié, le cas échéant.

Ne mettez pas de vraies données de clients dans votre signalement. Si vous en avez rencontré, dites-le-nous, cessez vos essais et supprimez-les.

Ce qui est dans la portée

• TuneCraft : automatisation et nettoyage du site, pour Jira Cloud (l’identifiant de l’application Forge est en haut de cette page) : ses pages, ses fonctions Forge, le déclencheur Web qui reçoit l’analyse automatique et les actions de l’agent Rovo.
• La façon dont l’application stocke, lit et affiche les données, y compris la façon dont elle applique les permissions de Jira et ses propres niveaux d’accès.
• Les pages de ce site Web, plugincraft.ca. Elles sont statiques : nous nous attendons à y trouver peu de choses.

Ce qui n’est pas visé

• Jira, Forge, Rovo, le Marketplace d’Atlassian et les autres services d’Atlassian. Signalez-les à Atlassian (voir plus bas).
• Les sites Jira d’autres clients, et tout site qui ne vous appartient pas ou que vous n’avez pas la permission de tester.
• Le déni de service, les essais de charge ou de volume, et les analyses automatisées qui génèrent un trafic important. Ils peuvent toucher d’autres clients.
• L’ingénierie sociale, l’hameçonnage et les attaques physiques contre Plugincraft ou ses fournisseurs.
• Les rapports d’outils automatisés sans impact démontré, les en-têtes de sécurité manquants sans exploitation possible, et les constats qui exigent un appareil ou un compte déjà compromis.

Comportements documentés qui ne sont pas des vulnérabilités

Ces comportements sont décrits dans nos documents de confiance et sont des choix de conception. Veuillez ne pas les signaler comme de nouveaux constats :

• L’application garde un hachage à clé à la place de nombreux noms et textes. Un hachage à clé est un pseudonyme, et non un secret pour qui détient la base de données : la clé est conservée dans le même stockage, si bien qu’on peut retrouver un nom court en essayant des candidats.
• La clé de l’analyse automatique contient la clé d’analyse du site à côté du secret que vérifie le déclencheur Web, parce que l’expéditeur a besoin de la clé d’analyse pour faire les mêmes hachages à clé que le navigateur. Quiconque détient la clé entière peut envoyer des analyses à l’application et tester des hypothèses contre un hachage à clé. Remplacer la clé arrête aussitôt le secret, et la clé d’analyse reste.
• Les noms des flux sont conservés tels qu’écrits, et les personnes que vos administrateurs autorisent dans l’application (les administrateurs Jira, les groupes qu’ils autorisent et, pour les flux d’un projet, les administrateurs de ce projet) peuvent les lire.
• Les alertes et les avis sont des tickets Jira. Toute personne qui peut parcourir le projet où ils sont créés peut les lire.

Tout ce qui dépasse ce que ces pages décrivent est dans la portée. Par exemple, un texte tiré des réglages d’un flux (une requête JQL, une adresse Web, un en-tête ou un secret) trouvé dans le stockage ou les journaux de l’application, ou un nom Jira conservé en clair là où ces pages disent qu’il ne l’est pas, est un constat sérieux.

Règles pour les essais

• Faites vos essais seulement sur un site Jira qui vous appartient ou que vous administrez, avec des données fictives.
• Utilisez le moins d’accès et le moins de requêtes possible pour démontrer le problème. Ne lisez, ne modifiez et ne supprimez pas de données qui ne sont pas à vous.
• Arrêtez dès que vous avez démontré le problème. N’utilisez pas un constat pour consulter d’autres données, vous déplacer latéralement ou conserver un accès.
• Ne dégradez pas le service pour les autres.
• Ne communiquez pas les détails avant que les conditions de divulgation ci-dessous soient remplies.

Immunité pour la recherche de bonne foi

Nous voulons que les chercheurs signalent les problèmes. Si vous faites un effort de bonne foi pour suivre cette politique, nous considérons votre recherche comme autorisée. Nous n’intenterons aucune action en justice contre vous et nous ne demanderons pas aux forces de l’ordre d’enquêter sur vous pour une recherche faite conformément à cette politique. Si un tiers intente une action en justice contre vous pour une recherche qui a suivi cette politique, nous dirons qu’elle était autorisée.

Cette politique ne vise que Plugincraft. Elle n’engage ni Atlassian ni aucune autre entreprise, et elle ne vous permet pas d’enfreindre leurs règles. Si vous testez les services d’Atlassian ou signalez par l’entremise de ses programmes, suivez leurs conditions. Si vous doutez qu’une chose soit permise, demandez-nous d’abord à info@plugincraft.ca.

Ce que vous pouvez attendre de nous

Ce sont les délais de la politique de correction des bogues de sécurité d’Atlassian (en anglais) pour les applications Cloud, que nous avons vérifiée le 27 octobre 2026. Atlassian n’accepte une prolongation que dans des cas limités, par exemple lorsque le correctif dépend d’un changement de la plateforme Atlassian. Si nous devions en demander une, nous vous le dirions. Les jours ouvrables vont du lundi au vendredi, et les heures ouvrables sont de 8 h à 17 h, heure de l’Est. Nous répondons à une alerte de vulnérabilité d’Atlassian dans les 8 heures ouvrables.

Divulgation et reconnaissance

Nous suivons la divulgation coordonnée. Veuillez garder les détails confidentiels jusqu’à la publication d’un correctif, ou jusqu’à 90 jours après votre signalement, selon le premier des deux. Si le délai de correction d’un constat Faible est plus long, nous convenons d’une date avec vous. Si nous publions un avis, nous vous remercions sous le nom que vous préférez, à moins que vous souhaitiez rester anonyme. Plugincraft ne verse pas encore de récompense pour les signalements. Voir Pratiques de sécurité pour nos projets.

Signaler par l’entremise d’Atlassian

Le programme de divulgation des vulnérabilités d’Atlassian permet aux chercheurs de signaler une vulnérabilité d’une application du Marketplace par le programme de primes aux bogues de sécurité du Marketplace (en anglais). Une fois TuneCraft inscrite au Marketplace d’Atlassian, vous pourrez aussi utiliser cette voie. Signalez les vulnérabilités de Jira, de Forge ou des autres produits d’Atlassian à Atlassian.

Documents connexes

• Aperçu de la sécurité
• Réponse aux incidents
• Journalisation des données
• Politique de confidentialité