Bentley Systems exige que tous les chercheurs

• évitent les violations de la vie privée, la dégradation de l'expérience utilisateur, l'interruption des systèmes de production et la destruction des données lors des tests de sécurité ;
• effectuent des recherches uniquement dans le cadre du champ d'application défini ci-dessous ;
• utilisent les canaux de communication définis ci-dessous pour nous communiquer des informations sur les vulnérabilités.
• gardent les informations sur les vulnérabilités que vous avez découvertes confidentielles entre vous et Bentley Systems jusqu'à ce qu'elles soient corrigées.

• ne pas intenter ou soutenir une action en justice liée à votre recherche ;
• travailler avec vous pour comprendre et résoudre rapidement le problème.

Lorsque nous effectuons des recherches sur la vulnérabilité conformément à cette politique, nous considérons que ces recherches sont

• autorisées conformément au Computer Fraud and Abuse Act (CFAA) (ou des lois nationales similaires), et nous n'engagerons ni ne soutiendrons aucune action en justice à votre encontre en cas de violation accidentelle et de bonne foi de la présente politique ;
• exemptes du Digital Millennium Copyright Act (DMCA), et nous ne porterons pas plainte contre vous pour contournement des contrôles technologiques ;
• exemptes des restrictions prévues dans nos conditions générales qui entraveraient la recherche en matière de sécurité, et nous renonçons à ces restrictions sur une base limitée pour les travaux effectués dans le cadre de la présente politique ;
• légales, utiles à la sécurité générale de l'Internet et menées de bonne foi.

Comme toujours, vous êtes tenu(e) de respecter toutes les lois applicables. Si, à un moment ou à un autre, vous avez des inquiétudes ou des doutes quant à la conformité de votre recherche en matière de sécurité avec la présente politique, veuillez soumettre un rapport par l'intermédiaire de l'un de nos canaux de communication définis ci-dessous avant d'aller plus loin.

Si vous pensez avoir trouvé une faille de sécurité dans l'un de nos produits ou l'une de nos plateformes, veuillez remplir le formulaire sur cette page.

Assurez-vous d'avoir inclus les informations suivantes :

• Description détaillée de la vulnérabilité contenant des informations telles que l'URL, la requête/réponse HTTP complète et le type de vulnérabilité.
• Informations nécessaires pour reproduire le problème.
• Le cas échéant, une capture d'écran et/ou une vidéo de la vulnérabilité.
• Coordonnées, nom, e-mail, numéro de téléphone, lieu. Les candidatures ne comportant pas ces informations ne seront pas prises en considération.
• REMARQUE IMPORTANTE. Vous ne pouvez effectuer la soumission initiale que par l'intermédiaire du formulaire. Si vous avez des questions qui ne sont pas mentionnées dans un formulaire, veuillez nous envoyer un courrier électronique à l'adresse suivante : security@bentley.com.

• Le déni de service est strictement interdit.
• Toute forme d'attaque par force brute des identifiants est strictement interdite.
• Il est interdit d'informer le public d'une vulnérabilité signalée avant qu'elle n'ait été corrigée.
• Vous ne pouvez pas détruire ou dégrader nos performances ni violer la protection de la vie privée ou l'intégrité de nos utilisateurs et de leurs données.
• L'exploitation des vulnérabilités (autre qu'une démonstration de la faisabilité générique) est strictement interdite et fera l'objet de poursuites conformément à la législation applicable.
• Si une vulnérabilité permet un accès involontaire aux données, vous devez
  • limiter la quantité de données auxquelles vous avez accès au minimum requis pour faire efficacement la démonstration de la faisabilité ; et
  • cesser les essais ; et
  • soumettre immédiatement un rapport si vous rencontrez des données d'utilisateur pendant les tests, telles que des informations personnelles identifiables, des informations personnelles sur la santé, des données de carte de crédit ou des informations propriétaires.
    
• Bentley ne répondra pas à l'extorsion ou à d'autres actes criminels coercitifs (par ex. les demandes de paiement anticipé en échange de la non-exploitation d'une vulnérabilité découverte.

À moins que notre équipe vous informe que la vulnérabilité a été résolue, veuillez ne pas divulguer publiquement la vulnérabilité pendant 90 jours. Le non-respect de cette obligation entraînera des poursuites judiciaires.

Seul le premier chercheur à signaler un problème ou des problèmes similaires sera pris en compte dans le cadre de cette politique. Cela inclut les rapports sur le même problème dans différents environnements (par exemple, dev-, qa-, prod-).

Une fois votre demande reçue :

• La vulnérabilité signalée sera analysée.
• Si nous déterminons que la demande est valable et qu'elle répond aux prérequis de la présente politique, vous pouvez recevoir une compensation.
• Vous serez informé lorsque le problème sera résolu.