Politique de divulgation des vulnérabilités

Envoyez les rapports au security@tav.gg. Pour nous aider à vérifier et reproduire le problème, veuillez inclure :

• une description de la vulnérabilité et du produit, URL, ou composant concerné ;
• des instructions étape par étape pour le reproduire ;
• l'impact potentiel, y compris ce qu'un attaquant pourrait réaliser ;
• la version de l'application ou l'appareil, le système d'exploitation et le navigateur utilisés, le cas échéant ;
• tout matériel justificatif, tel que des captures d’écran, des journaux de demandes et de réponses, ou une preuve de concept.

N'incluez pas de données personnelles appartenant à d'autres utilisateurs dans votre rapport. Si vous avez rencontré de telles données lors de la démonstration du problème, décrivez-les plutôt que de les envoyer.

Si votre rapport contient des informations sensibles, indiquez-le dans votre e-mail initial et nous organiserons une méthode de transfert sécurisée.

Cette politique s'applique aux services suivants exploités par MEKASMITH Co., Ltd. :

• les sites Internet tav.gg et wondersofaether.com ;
• nos API et services en temps réel : api.tav.gg, api.wondersofaether.com, ws.tav.gg et ws.wondersofaether.com ;
• fichiers servis à partir de cdn.tav.gg ;
• les applications Taverns pour Windows, Mac, Linux, iPhone et Android ;
• Taverns pour OBS ;
• Wonders of Aether.

Si vous ne savez pas si un système ou un problème entre dans le champ d'application, veuillez le signaler. Nous examinons chaque soumission.

Les activités suivantes ne sont pas autorisées en vertu de cette politique :

• l'ingénierie sociale, y compris le phishing, de nos employés, sous-traitants ou utilisateurs ;
• les attaques physiques contre nos bureaux, notre personnel ou nos équipements ;
• attaques par déni de service, tests de charge ou de stress, ou toute autre activité qui dégrade ou perturbe le service pour autrui ;
• envoyer du spam ou des messages non sollicités aux utilisateurs qui n'ont pas accepté de participer aux tests.

Les rapports basés uniquement sur les résultats d'outils d'analyse automatisés, sans impact démontré sur la sécurité, ne seront pas pris en compte.

Les vulnérabilités des services que des tiers exploitent pour notre compte doivent être signalées au fournisseur concerné. Notre configuration de ces services, y compris les contrôles d'accès à nos fichiers et données, reste dans la portée.

Nous considérons que les recherches de sécurité menées de bonne foi et conformément à cette politique sont autorisées. Si vous faites un effort de bonne foi pour vous conformer à cette politique, nous n'engagerons pas de poursuites judiciaires contre vous ni ne demanderons aux forces de l'ordre d'agir contre vous pour vos recherches.

La recherche est menée de bonne foi lorsque vous :

• testez uniquement sur les comptes que vous possédez ou sur les comptes dont les propriétaires ont donné une autorisation explicite ;
• ne pas modifier ni supprimer les données appartenant à des tiers, et ne pas y accéder ni en conserver plus que le minimum nécessaire pour démontrer la vulnérabilité ;
• arrêtez les tests et informez-nous immédiatement si vous rencontrez des données personnelles, et supprimez toutes les copies une fois que vous les avez signalées ;
• ne pas dégrader, interrompre ou perturber le service pour les autres utilisateurs ;
• ne pas exiger de paiement ou tout autre avantage en échange de la rétention ou de la divulgation de l'émission ;
• accordez-nous un délai raisonnable pour résoudre le problème avant de le divulguer à un tiers.

Cette autorisation couvre uniquement les systèmes exploités par MEKASMITH Co., Ltd. Nous ne pouvons pas autoriser les tests de systèmes exploités par des tiers.

• Nous accuserons réception de votre rapport dans un délai de 3 jours ouvrables.
• Nous vous tiendrons informé de nos progrès au cours de l’enquête et de la résolution, et vous informerons lorsque le problème sera résolu.
• Avec votre permission, nous vous créditerons publiquement une fois le problème résolu. S'il vous plaît dites-nous comment vous souhaitez être crédité.

Nous n'exploitons actuellement pas de programme payant de bug bounty et ne sommes pas en mesure d'offrir des récompenses monétaires pour les rapports.

Cette politique couvre uniquement les vulnérabilités de sécurité. Pour signaler un problème de sécurité d'un enfant, consultez notre Normes de sécurité des enfants. Pour signaler un abus, un harcèlement ou un contenu préjudiciable, utilisez l'option Signaler dans l'application à côté du message, du profil, de la publication ou de la taverne concernée. Pour obtenir de l'aide concernant votre compte, contactez support@tav.gg.

Taverns et Wonders of Aether sont exploités par MEKASMITH Co., Ltd., Tokyo, Japon. Nos entreprise et coordonnées sont disponibles sur la page Support.