Aller au contenu
Service d’installationRéserver un appel gratuit
Sécurité

Vous avez trouvé une faille ? Dites-le-nous en privé.

PNLCS gère la facturation, les identifiants des clients et les intégrations de paiement de véritables hébergeurs. Une faille de sécurité peut toucher les factures, les données clients et les paiements, et nous traitons chaque signalement en conséquence.

Signaler une vulnérabilité Politique de sécurité complète

Écrivez à [email protected]

Indiquez une description, le composant concerné, les étapes pour reproduire, l’impact, ainsi que vos versions de PNLCS, Laravel, PHP et MySQL. Masquez tout identifiant ou donnée client. Une clé PGP est disponible sur demande.

Vous pouvez aussi utiliser le signalement privé de vulnérabilités de GitHub.Signaler sur GitHub

N’ouvrez pas d’issue, de discussion ou de sujet de forum public pour une faille de sécurité.

Ce qui se passe après votre signalement

  1. 48 heuresAccusé de réceptionVous êtes informé que le signalement est bien arrivé.
  2. 5 jours ouvrésAnalyseUne première évaluation et un niveau de gravité.
  3. Chaque semainePoints d’étapePlus tôt pour les problèmes critiques.
  4. 14 joursCorrectif publiéEn général, pour les problèmes critiques, à compter de la confirmation.
  5. 90 joursDivulgationLe délai par défaut, négociable.

Dans le périmètre

  • L’application : administration, espace client, API, workers de file d’attente, tâches planifiées
  • Authentification, rôles, sessions et jetons
  • Intégrations de passerelles de paiement, de registraires et de serveurs
  • Modèles et vues des thèmes intégrés
  • Scripts d’installation et de mise à jour publiés depuis le dépôt

Hors périmètre

  • Les attaques qui nécessitent un accès physique ou équivalent root
  • Les défauts de paquets tiers : signalez-les en amont
  • Le self-XSS, ou les en-têtes manquants sans véritable scénario d’attaque
  • Les résultats de scanners automatiques sans impact démontré
  • Les installations de démo et de bac à sable gérées par Panelica
  • Les forks et les copies modifiées

Intégré à chaque installation

Ce que fait PNLCS pour protéger une installation. La liste de sécurité couvre ce qu’il faut vérifier après l’installation.

Liste de sécurité
Accès par rôle46 permissions détaillées pour l’équipe. Une clé d’API agit avec le rôle du compte de son membre de l’équipe.
Authentification à deux facteursPour l’équipe et les clients, avec codes de récupération pour l’équipe.
Limitation de fréquenceConnexion, codes à deux facteurs, réinitialisations de mot de passe et e-mails de vérification.
Journal d’activitéChaque action dans l’administration et via l’API est enregistrée avec son auteur.
Outils d’hébergement cloisonnésChaque action sur les fichiers, le DNS, le cron et les sauvegardes est vérifiée par rapport aux domaines du client.
Provisionnement encadréSur Proxmox VE, PNLCS n’agit que sur les machines qu’il a créées et marquées.

Hall of fame

Ils ont signalé une faille en privé et nous ont laissé le temps de publier un correctif d’abord. Merci.

Santosh Kumar PuppalaUne requête d’API avec un identifiant valide et sans secret était acceptée. Corrigé dans la 1.3.0.
Sam CanUn lien de réinitialisation de mot de passe tirait son hôte de la requête : un en-tête falsifié pouvait faire pointer un e-mail authentique vers un autre serveur. Corrigé dans la 1.15.0.
Il n’y a pas de bug bounty rémunéré, mais les chercheurs sont crédités dans l’avis de sécurité et le changelog, et listés ici s’ils le souhaitent. Nous n’engagerons aucune poursuite contre une recherche de bonne foi qui respecte la politique.