Politique de sécurité

La sécurité de Ledgerly et des données de nos utilisateurs est une priorité. Si vous êtes chercheur en sécurité et pensez avoir découvert une vulnérabilité, cette page vous explique comment nous la signaler de façon responsable. Nous accueillons favorablement tout signalement de bonne foi.

Périmètre concerné

Les éléments suivants entrent dans le cadre de cette politique,

• l'application web accessible sur ledgerly.be et ses sous-domaines
• l'espace compte, l'authentification, la gestion des sessions et des accès
• la logique métier de facturation, de TVA et des données comptables

Hors périmètre

Les activités et rapports suivants ne sont pas acceptés,

• attaques par déni de service (DoS, DDoS) et tests de charge
• hameçonnage, ingénierie sociale visant nos utilisateurs ou nos employés, envoi de spam
• accès physique, tests sur les services tiers que nous utilisons (paiement, hébergement, banque)
• rapports issus uniquement de scanners automatisés sans preuve d'impact réel

Règles à respecter

• Testez uniquement avec un compte que vous avez créé vous-même, n'accédez jamais aux données d'un autre utilisateur.
• N'extrayez, ne modifiez et ne supprimez aucune donnée, arrêtez-vous dès qu'une faille est démontrée.
• Ne dégradez pas le service et ne perturbez pas son fonctionnement pour les autres utilisateurs.
• Ne divulguez pas publiquement la faille avant qu'elle soit corrigée et que nous ayons donné notre accord.

Comment signaler une faille

Envoyez-nous un rapport détaillé par email. Nous vous répondrons dans les meilleurs délais.

Contact sécurité, security@ledgerly.be

• une description claire de la vulnérabilité et de son impact potentiel
• les étapes précises pour la reproduire (URL, requêtes, captures d'écran)
• le cas échéant, une piste de correction proposée

Notre engagement

Si vous respectez cette politique et agissez de bonne foi,

• nous accusons réception de votre rapport et vous tenons informé du traitement
• nous corrigeons les failles confirmées dans un délai raisonnable selon leur gravité
• nous n'engageons aucune poursuite judiciaire à votre encontre pour un test mené dans le respect de ces règles

Récompense

Ledgerly ne propose pas de programme de prime (bug bounty) rémunéré à ce jour. Nous remercions cependant chaleureusement les chercheurs pour leur contribution et pouvons, avec leur accord, les créditer publiquement une fois la faille corrigée.