Signaler une vulnérabilité de sécurité
Si vous pensez avoir découvert une vulnérabilité sur un site Ry.hk, un compte, un parcours de paiement ou l’infrastructure, envoyez-nous assez de détails pour la reproduire et l’évaluer. Gardez ces informations confidentielles pendant notre investigation.
Ne publiez pas les détails d’exploitation ni les données clients avant que nous ayons eu un délai raisonnable pour enquêter et répondre.
Ce qu’il faut signaler
- Problèmes d’authentification, d’autorisation, de prise de contrôle de compte ou de contournement du paiement.
- Exposition de données clients, commandes, factures ou données personnelles.
- Exécution de code, injection, SSRF, traversée de chemin ou traitement de fichiers non sécurisé.
- Hameçonnage ou contenu malveillant usurpant Ry.hk.
Fournissez assez de détails pour l’analyse
Une reproduction claire et minimale est plus utile qu’une longue vidéo de nombreuses actions sans rapport.
- L’URL, la fonctionnalité et le type de compte concernés.
- Les étapes de reproduction et le résultat observé.
- L’impact de sécurité et les conditions préalables identifiées.
- Horodatages, identifiants de requête, captures expurgées ou journaux utiles.
Étapes suivantes
Questions sur les signalements de vulnérabilités
Mon rapport restera-t-il confidentiel ?
Il est limité aux personnes qui doivent enquêter et corriger. Ne publiez pas de détails d’exploitation ni de données clients avant que nous ayons eu un délai raisonnable pour évaluer et coordonner la divulgation.
Proposez-vous un bug bounty ?
Nous ne promettons actuellement ni programme public de bug bounty ni récompense pour chaque rapport. Nous évaluons l’impact et la validité ; aucune prime n’est implicite sans accord écrit préalable.
Que faut-il éviter pendant les tests ?
N’accédez pas aux données d’un autre client, ne lancez pas de test destructif ou à forte charge et n’envoyez pas de mot de passe, clé privée ou donnée personnelle non masquée. Une reproduction minimale et des preuves masquées suffisent.
Testez de manière sûre
- Utilisez uniquement des comptes, domaines et données que vous contrôlez.
- Ne dégradez pas le service, ne lancez pas de tests destructifs et n’accédez pas aux données d’autrui.
- Évitez les scans automatisés qui créent une charge ou du bruit inutiles.
Gardez les détails privés
Si l’e-mail n’est pas possible, ouvrez un ticket et indiquez dans l’objet qu’il s’agit d’un rapport de sécurité.