Politique de divulgation des vulnérabilités

Banger Mail accueille les recherches de sécurité menées de bonne foi. Si vous pensez avoir trouvé une vulnérabilité, écrivez à security@team.bangermail.com. Précisez l’hôte ou l’application concernés, les étapes de reproduction, l’impact attendu et les journaux ou captures utiles à la compréhension du problème. Nous ne publions pas de clé PGP actuellement ; évitez d’envoyer des secrets, des données personnelles ou du contenu de boîtes mail inutiles.

Comment signaler un problème

Envoyez un signalement par problème lorsque c’est possible. Donnez assez de détails pour reproduire le comportement sans risque et précisez si vous pensez que le problème est activement exploité. Arrêtez les tests dès que vous disposez de preuves suffisantes pour démontrer la vulnérabilité.

Périmètre

Dans le périmètre :

• app.bangermail.com, l’application web Banger ;
• api.bangermail.com, l’API Banger, dont le serveur MCP sur api.bangermail.com/mcp et ses endpoints OAuth ;
• auth.muchbetterapps.com, le service de connexion utilisé par Banger (il conserve l’ancien nom de notre entreprise) ;
• cloud.bangermail.com, qui gère les connexions aux boîtes mail Google ; et
• bangermail.com, le site public, y compris ses outils gratuits.

Les signalements concernant l’authentification, OAuth et l’autorisation des agents, les clés d’API, les permissions des outils MCP, l’accès entre espaces de travail, le routage des e-mails, l’envoi sur le domaine d’un autre client, la protection des données des boîtes mail ou l’exposition de données sensibles sont particulièrement utiles.

Hors périmètre

Sont hors périmètre : déni de service ou tests automatisés à fort volume, ingénierie sociale, attaques physiques, prise de contrôle de compte par réutilisation de mots de passe, et vulnérabilités présentes uniquement dans des services tiers non exploités par BangerMail Inc. N’envoyez pas de spam, ne pratiquez pas l’hameçonnage ni les attaques avec des identifiants volés, ne maintenez pas d’accès persistant, n’exfiltrez pas de données et ne consultez que les données nécessaires pour démontrer le problème.

Délai d’accusé de réception

Nous accuserons réception des signalements dans le périmètre sous 3 jours ouvrés et pourrons demander des précisions pendant l’enquête. Nous les priorisons selon l’impact probable pour les utilisateurs, la facilité d’exploitation et les effets possibles sur les données des boîtes mail ou l’accès aux comptes.

Protection des chercheurs

Nous considérons comme autorisée toute recherche de bonne foi respectant cette politique. Si vous restez dans le périmètre, évitez les atteintes à la vie privée et les interruptions de service, signalez rapidement les accès accidentels et ne conservez ni ne partagez les données, nous n’engagerons pas d’action en justice pour cette recherche.

Divulgation coordonnée

Notre délai habituel de divulgation coordonnée est de 90 jours après l’accusé de réception, sauf accord mutuel différent ou exploitation active exigeant une action plus rapide. Il ne s’agit pas d’un programme de récompenses rémunérées pour les vulnérabilités.