Rapports a vulnérabilité.

Comment faire rapport

Écrivez à security@evmsi.com avec suffisamment de détails pour reproduire le problème. Nous voulons reconnaître les rapports dans les trois jours ouvrables.

Port sûr

Si vous faites un effort de bonne foi pour vous conformer à cette politique au cours de vos recherches, nous la considérerons comme autorisée, nous travaillerons avec vous pour comprendre et résoudre le problème rapidement, et nous ne recommanderons ni ne mènerons aucune action en justice.

Portée

• 01Ce site et ses sous-domaines.
• 02Le paramètre de contact à /api/contact.
• 03Tout problème permettant l'exécution de script, l'injection de contenu ou le contournement du Content Security Policy.

Hors champ

• 01Refus de service, tests volumétriques, ou toute activité dégradant la disponibilité pour d'autres.
• 02Ingénierie sociale de nos collaborateurs, partenaires ou fournisseurs.
• 03Attaques physiques contre nos bureaux ou notre personnel.
• 04Rapports générés uniquement par un scanner automatisé, sans impact démontré.
• 05En-têtes de durcissement manquants sans trajectoire d'exploitation démontrée.

Notre posture

Ce site est délibérément construit avec presque aucune surface d'attaque. Il ne charge pas de script tiers, de style, de police, de cadre ou d'extrémité; il prend exactement une soumission de formulaire; et il ne stocke rien sur les visiteurs. Les mesures ci-dessous sont appliquées à chaque réponse.

• 01Un Content Security Policy non-ce avec strict-dynamic — aucun script inline ou tiers ne peut être exécuté.
• 02Sécurité de transport HTTP Strict avec un âge maximum de deux ans, sous-domaines inclus, éligibles à la précharge.
• 03Framing nié catégoriquement par les deux frame-ancestors et X-Frame-Options.
• 04Isolement croisé : politique d'ouverture, de ressources et d'intégration de la même origine.
• 05Un Permissions-Policy qui renonce à chaque capacité d'appareil que le site n'utilise pas, y compris pour notre propre origine.
• 06Validation côté serveur, limites de taille corporelle, vérification de l'origine et limitation du taux d'adresse sur le point de contact.
• 07Aucun tiers analytique, gestionnaire de tags, pixel publicitaire ou enregistreur de session — n'importe où.

S'il vous plaît, ne

Accédez, modifiez ou supprimez des données qui ne vous appartiennent pas; dégradez le service pour d'autres personnes; ou publiez des détails d'un problème non résolu avant que nous ayons eu une occasion raisonnable de le corriger.

Contact

EV MULTI-SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com