Périmètre concerné
Les éléments suivants entrent dans le cadre de cette politique,
- l'application web accessible sur ledgerly.be et ses sous-domaines
- l'espace compte, l'authentification, la gestion des sessions et des accès
- la logique métier de facturation, de TVA et des données comptables
Hors périmètre
Les activités et rapports suivants ne sont pas acceptés,
- attaques par déni de service (DoS, DDoS) et tests de charge
- hameçonnage, ingénierie sociale visant nos utilisateurs ou nos employés, envoi de spam
- accès physique, tests sur les services tiers que nous utilisons (paiement, hébergement, banque)
- rapports issus uniquement de scanners automatisés sans preuve d'impact réel
Règles à respecter
- Testez uniquement avec un compte que vous avez créé vous-même, n'accédez jamais aux données d'un autre utilisateur.
- N'extrayez, ne modifiez et ne supprimez aucune donnée, arrêtez-vous dès qu'une faille est démontrée.
- Ne dégradez pas le service et ne perturbez pas son fonctionnement pour les autres utilisateurs.
- Ne divulguez pas publiquement la faille avant qu'elle soit corrigée et que nous ayons donné notre accord.
Comment signaler une faille
Envoyez-nous un rapport détaillé par email. Nous vous répondrons dans les meilleurs délais.
Contact sécurité, security@ledgerly.be
- une description claire de la vulnérabilité et de son impact potentiel
- les étapes précises pour la reproduire (URL, requêtes, captures d'écran)
- le cas échéant, une piste de correction proposée
Notre engagement
Si vous respectez cette politique et agissez de bonne foi,
- nous accusons réception de votre rapport et vous tenons informé du traitement
- nous corrigeons les failles confirmées dans un délai raisonnable selon leur gravité
- nous n'engageons aucune poursuite judiciaire à votre encontre pour un test mené dans le respect de ces règles
Récompense
Ledgerly ne propose pas de programme de prime (bug bounty) rémunéré à ce jour. Nous remercions cependant chaleureusement les chercheurs pour leur contribution et pouvons, avec leur accord, les créditer publiquement une fois la faille corrigée.