Programme de signalement des vulnérabilités de sécurité de Twilio

Les principes guidant le signalement des vulnérabilités de sécurité

aPour Twilio, une divulgation efficace des vulnérabilités de sécurité nécessite une relation fondée sur la confiance mutuelle, le respect, la transparence et la volonté d’agir dans l’intérêt commun, entre l’entreprise et la communauté des chercheurs en sécurité. En conjuguant nos expertises et notre vigilance, nous contribuons activement à garantir la sécurité et la confidentialité continues des clients, produits et services de Twilio.

Chercheurs en sécurité

Twilio accueille les rapports de vulnérabilités émanant de toute source légitime : chercheurs en sécurité indépendants, partenaires industriels, fournisseurs, clients ou consultants. Twilio définit une vulnérabilité de sécurité comme étant une faiblesse/défaillance ou une exposition non intentionnelle qui pourrait être utilisée pour compromettre l’intégrité, la disponibilité ou la confidentialité de nos produits et services.

Portée

Cette politique s’applique à l’ensemble des assets (actifs) numériques détenus, exploités ou maintenus par Twilio, y compris ses sites web publics.

Notre engagement envers les chercheurs

• Confiance. Nous entretenons avec les chercheurs en sécurité des relations professionnelles basées sur la confiance mutuelle et la confidentialité.
• Respect. Nous respectons le travail de chaque chercheur et reconnaissons l’importance de leur contribution à la sûreté et à la sécurité de nos clients.
• Transparence. Nous travaillerons à vos côtés pour valider et corriger les vulnérabilités signalées, dans le cadre de notre engagement en faveur de la sécurité et de la protection des données.
• Intérêt général. Nous enquêtons et corrigeons les vulnérabilités signalées de manière à garantir la sécurité et la protection des personnes potentiellement concernées.

Ce que nous attendons des chercheurs

• Confiance. Nous vous demandons de communiquer les vulnérabilités potentielles de manière responsable, en accordant suffisamment de temps et en fournissant suffisamment d’informations à notre équipe pour valider et résoudre les problèmes potentiels.
• Respect. Nous invitons les chercheurs à veiller à ne pas porter atteinte à la vie privée, altérer l’expérience utilisateur, perturber les environnements de production ou compromettre l’intégrité des données dans le cadre de leurs tests de sécurité.
• Transparence. Nous invitons les chercheurs à renseigner les détails techniques ainsi que les éléments contextuels indispensables à l’identification et à la validation des vulnérabilités signalées, via le formulaire ci-dessous.
• Intérêt général. Nous demandons aux chercheurs d’agir pour l’intérêt général, en protégeant la confidentialité et la sécurité des utilisateurs en s’abstenant de divulguer publiquement les vulnérabilités non vérifiées jusqu’à ce que notre équipe ait eu le temps de valider et de résoudre les problèmes signalés.

Signalement des vulnérabilités

Twilio recommande aux chercheurs en sécurité de partager, à l’aide du formulaire web ci-dessous, les informations relatives à toute vulnérabilité suspectée concernant des assets (actifs) détenus, contrôlés ou exploités par Twilio, ou pouvant raisonnablement affecter la sécurité de Twilio et de ses utilisateurs. L’équipe Twilio Security accusera réception de tout rapport de vulnérabilité, mènera une enquête approfondie, puis prendra les mesures nécessaires pour résoudre le problème.

Programme Bug Bounty

Les chercheurs souhaitant prétendre à des récompenses potentielles au titre de leur expertise en sécurité sont invités à transmettre leur signalement par le biais du programme Bug Bounty de Twilio.