Signaler une vulnérabilité de sécurité

PROGRAMME DE DIVULGATION DES VULNÉRABILITÉS DE NUVEI

Si vous pensez avoir découvert une vulnérabilité de sécurité dans les produits ou sites Web de Nuvei ou de l’une de ses filiales, veuillez continuer à lire pour découvrir comment soumettre un rapport à nos équipes de sécurité afin qu’elles puissent enquêter.

Bien que nous apprécions grandement les rapports de la communauté concernant les problèmes de sécurité, Nuvei ne fournit actuellement aucune compensation monétaire pour les rapports automatisés sur des vulnérabilités.

Tout bug de sécurité ou toute vulnérabilité qui peut être démontré avec succès comme compromettant la confidentialité, l’intégrité ou la disponibilité des informations relatives à nos clients et à nos secrets peut éventuellement faire l’objet d’une compensation.

Toute vulnérabilité ou vulnérabilité potentielle que vous découvrez ne peut être divulguée publiquement ou à un tiers.

CONDITIONS D’ÉLIGIBILITÉ

• Toutes les vulnérabilités doivent être de nouvelles découvertes et non connues auparavant de Nuvei.
• La personne qui la transmet ne doit pas résider dans un pays figurant sur une liste de sanctions canadienne ou américaine.

TESTS INTERDITS

Les tests suivants sont interdits et feront l’objet d’une notification aux forces de l’ordre.

Tests automatisés de toute nature, y compris, mais sans s’y limiter :

• Force brute
• Scans SSL Labs
• Scans ASV tiers
• Déni de service

N’essayez pas de procéder à une exploitation postérieure, y compris une modification ou destruction de données, ainsi que l’interruption ou la dégradation des services de Nuvei.

N’essayez pas de cibler les employés ou les clients de Nuvei en utilisant des méthodes d’ingénierie sociale, d’hameçonnage ou d’attaques physiques.

HORS DE PORTÉE

Les vulnérabilités de sécurité non éligibles incluent, sans s’y limiter :

• Ingénierie sociale, hameçonnage
• Attaques physiques
• Indicateurs de cookies manquants
• Mystification de contenu
• Traces de pile, divulgation de chemin, listes de répertoires
• Possibilité de créer des liens externes.
• Falsification de requête intersites avec des implications de sécurité minimales.
• Application côté client de la sécurité côté serveur
• Mystification de courriels
• Détournement de clic sur un site Web statique
• Paramètres de bonnes pratiques
• DOS/DDOS
• Configuration des enregistrements SPF
• Politique de mot de passe faible
• Meilleures pratiques SSL/TLS

‍