Passer au contenu principal

Conditions de signalement des vulnérabilités

Dernière mise à jour : septembre 2025

Ces conditions régissent le programme Tanium CNA et Bug Bounty et remplacent les directives et conditions de HackerOne en cas de contradiction. Le programme Bug Bounty de Tanium est soumis à des conditions supplémentaires et à des exigences de périmètre spécifiques, détaillées ci-dessous. En soumettant une vulnérabilité dans le cadre de l'un ou l'autre programme, vous reconnaissez et acceptez les conditions suivantes.

Directives de signalement

  • Fournissez des rapports détaillés accompagnés d'étapes de reproduction. Veillez à inclure le nom et le numéro de version du produit Tanium concerné, la nature et l'Impact du problème suspecté, ainsi que toute preuve ou PoC associé si nécessaire.
  • L'ingénierie sociale (par exemple, le phishing, le vishing, le smishing) est interdite.
  • Faites preuve de bonne foi pour éviter les atteintes à la vie privée, la destruction de données, ainsi que toute interruption ou dégradation de notre service. Interagissez uniquement avec les comptes qui vous appartiennent ou avec l'autorisation du titulaire du compte.
  • Détruisez de manière sécurisée toute information confidentielle que vous auriez pu obtenir.
  • Vous accordez à Tanium tous les droits nécessaires sur les rapports.
  • Vous avez lu et accepté la politique de divulgation des vulnérabilités de Tanium et reconnaissez que Tanium conserve toute latitude pour interpréter et appliquer les conditions du programme, y compris l'éligibilité de toute personne aux récompenses du programme ou leur modification.
  • Vous êtes habilité à participer à ce programme et avez obtenu de votre employeur toutes les autorisations nécessaires pour recevoir les prix attribués, et ce faisant, vous êtes en conformité avec l'ensemble des lois, réglementations et politiques de votre employeur applicables en matière d'acceptation de récompenses.

Hors périmètre

Lors du signalement de vulnérabilités, veuillez prendre en compte le scénario d'attaque/l'exploitabilité ainsi que l'Impact de la faille sur la sécurité. Par exemple, les problèmes suivants sont considérés comme hors périmètre :

  • Clickjacking sur des pages sans actions sensibles.
  • CSRF non authentifié/déconnexion/connexion.
  • Bonnes pratiques de configuration manquantes sans preuve de concept fonctionnelle.
  • Attaques par déni de service (DoS) contre nos propriétés web.
  • Techniques de spam ou d'ingénierie sociale.
  • Contenu Tanium Labs.
  • Vulnérabilités dans les intégrations tierces de Tanium, notamment les applications, les services ou les capteurs.
  • Vulnérabilités exploitables uniquement si quelqu'un configure de façon incorrecte, configure de façon non sécurisée ou déploie nos produits de façon non sécurisée.
  • Vulnérabilités dans les implémentations génériques de technologies ou de bibliothèques que nous utilisons. Dans certains cas, Tanium utilise des technologies tierces de manière limitée pour mettre en œuvre ses solutions. Les vulnérabilités dans les implémentations génériques de technologies tierces sont hors périmètre, sauf si une vulnérabilité est identifiée dans l'implémentation de Tanium.

Safe Harbor

Toute activité menée dans le respect de cette politique sera considérée comme autorisée par Tanium. Si un tiers engage une action en justice à votre encontre en lien avec des activités menées dans le cadre de cette politique, nous prendrons les mesures nécessaires pour établir que vos actions ont été conduites en conformité avec celle-ci.

Directives de signalement des failles de sécurité

Les vulnérabilités soumises dans le cadre du programme Bug Bounty de Tanium sont également soumises aux directives de signalement supplémentaires suivantes :

  • Si le rapport n'est pas suffisamment détaillé pour reproduire le problème, celui-ci ne sera pas éligible à une récompense.
  • Soumettez une vulnérabilité par rapport, sauf si vous devez enchaîner plusieurs vulnérabilités pour démontrer un Impact.
  • En cas de doublons, seul le premier rapport reçu sera récompensé (à condition qu'il puisse être reproduit intégralement).
  • Plusieurs vulnérabilités causées par un même problème sous-jacent feront l'objet d'une seule prime.
  • La participation au programme de Tanium ne crée pas de relation de travail.

Périmètre du Bug Bounty

Les ressources suivantes sont dans le périmètre du Bug Bounty :

  • Toute vulnérabilité incluse dans le périmètre Tanium CNA
  • Les domaines spécifiques aux clients liés à l'instance client 'bugbounty'. Ces domaines sont
    • bugbounty.cloud.tanium.com
    • bugbounty-api.cloud.tanium.com
    • portal.bugbounty.cloud.tanium.com
  • Tout site web public sur le domaine tanium.com (par ex. tanium.com, developer.tanium.com, docs.tanium.com) sans lien avec un client en particulier.

Les ressources suivantes sont hors périmètre pour les tests Bug Bounty :

  • Ressources Tanium hébergées dans le cloud ou sur site appartenant à un client Tanium spécifique. Cela inclut tous les domaines correspondant aux modèles suivants :
    • *.cloud.tanium.com
    • *-api.cloud.tanium.com
    • portal.*.cloud.tanium.com

Récompenses du programme Bug Bounty

Nos récompenses reposent sur plusieurs critères, notamment la gravité selon le CVSSv3 (Common Vulnerability Scoring Standard) et l'Asset concerné. Veuillez noter que ces éléments constituent des lignes directrices générales, et que les décisions relatives aux récompenses sont laissées à la discrétion de Tanium.

Les personnes suivantes peuvent ne pas être éligibles à certaines récompenses, y compris les récompenses financières :

  • Les employés et prestataires de Tanium, ainsi que tout autre travailleur fournissant des services pour Tanium.
  • Les employés et prestataires des clients ou prospects de Tanium, ainsi que tout autre travailleur fournissant des services à un client ou prospect de Tanium, qui identifient une vulnérabilité dans le cadre de leurs responsabilités habituelles liées à leur job.
  • Les résidents de tout pays sous embargo ou sanctions promulgués par le gouvernement des États-Unis, incluant Cuba, l'Iran, la Corée du Nord, la Syrie, la Russie, la Biélorussie, certaines régions d'Ukraine, ainsi que tout Ressortissant Spécialement Désigné identifié par l'Office of Foreign Assets Control des États-Unis, tels que mis à jour périodiquement.
  • Les membres de la famille proche, ou les personnes résidant sous le même toit que l'une des personnes décrites ci-dessus.

Merci de contribuer à la sécurité de Tanium et de nos utilisateurs !