La sécurité des données est une priorité absolue pour ClassPass, c'est pourquoi nous travaillons avec des chercheurs en sécurité externes afin d'identifier les faiblesses de nos logiciels.

Si vous pensez avoir détecté une faille de sécurité dans les services proposés par ClassPass, veuillez nous en informer ; nous collaborerons étroitement avec vous pour résoudre le problème dans les meilleurs délais.

Nous apprécions le temps et les efforts déployés pour signaler les failles de sécurité, c'est pourquoi nous proposons une prime à cet effet.

Politique de divulgation

Si vous pensez avoir détecté une vulnérabilité, veuillez nous en faire part à l'adresse security@classpass.com. Nous en prendrons connaissance sous 5 jours ouvrables.

Dans votre rapport, veuillez inclure les informations suivantes :

• Le site Web, l'adresse IP ou la page où la faille peut être observée
• Une brève description du type de vulnérabilité
• Les étapes à reproduire. Il doit s'agir d'une preuve de concept bénigne et non destructrice. Cela permet un triage rapide et précis du signalement.

Accordez-nous un délai raisonnable pour résoudre le problème avant de le divulguer au public ou à un tiers. Nous nous efforçons de résoudre les problèmes critiques dans les 30 jours suivant leur communication. Le problème fera l'objet d'un triage pour vérifier s'il n'a pas déjà été signalé, avant d'être classé selon sa gravité. Une fois le triage terminé, s'il s'agit d'une vulnérabilité unique, nous verserons via PayPal une prime dont le montant est calculé en fonction de sa gravité.

Efforcez-vous en toute bonne foi de ne pas enfreindre les règles de confidentialité, de ne pas détruire les données ni d'interrompre ou de dégrader les services de ClassPass. Veuillez interagir uniquement avec les comptes qui vous appartiennent ou pour lesquels vous disposez d'une autorisation explicite de la part du titulaire. Vous ne devez pas enfreindre intentionnellement les lois ou règlements applicables, y compris (mais sans s'y limiter) les lois et règlements interdisant l'accès non autorisé aux données.

Exclusions

Pendant vos recherches, veuillez éviter les activités suivantes :

• Attaques par déni de service distribué (DDoS)
• Envoi de spams
• Ingénierie sociale ou hameçonnage des employés ou des fournisseurs de ClassPass
• Attaques, quelles qu'elles soient, visant la propriété physique ou les datacenters de ClassPass
• Attaques, quelles qu'elles soient, visant nos utilisateurs finaux ou impliquant le trafic d'identifiants d'utilisateur volés. Veuillez éviter d'utiliser tout compte tiers dont les données auraient été divulguées ou compromises. Les vulnérabilités découvertes par l'intermédiaire de ce type de comptes ne seront pas prises en compte.

Merci de nous aider à protéger ClassPass et nos clients !

Modifications

Ces règles sont susceptibles d'être modifiées de temps à autre. La version la plus récente des présentes règles sera toujours disponible à l'adresse https://classpass.com/vulnerability-disclosure.

Contact

ClassPass apprécie vos commentaires, questions et suggestions. Si vous souhaitez échanger avec nous, n'hésitez pas à nous envoyer un e-mail à l'adresse security@classpass.com.