Programme de bug bounty

Domaines et services inclus : wajub.com, api.wajub.com, dashboard.wajub.com, pay.wajub.com, wajub.link, docs.wajub.com, l'API REST publique, la CLI et les SDK officiels publiés sur github.com/wajubhq. Exclus : les sites des marchands, les Providers tiers (opérateurs, agrégateurs, fournisseurs de cartes), les infrastructures de nos hébergeurs, status.wajub.com (service tiers), les attaques physiques, les attaques par déni de service et l'ingénierie sociale.

Vulnérabilités récompensées : XSS (stocké, réfléchi, DOM-based), CSRF sur actions sensibles, SSRF avec impact démontré, injections (SQL, NoSQL, LDAP, OS command), IDOR, contournement d'authentification, escalade de privilèges, failles métier avec impact, exposition de données sensibles, subdomain takeover, race conditions, et mass assignment. Non éligibles : self-XSS, missing HTTP security headers sans impact, clickjacking non sensible, version disclosure, rate limiting sans impact business, et rapports automatisés sans preuve de concept.

Wajub peut attribuer une récompense, à sa discrétion, en fonction de la sévérité de la vulnérabilité, de son impact démontré et de la qualité du rapport. L'existence et le montant d'une récompense sont confirmés au chercheur après validation de la correction. Aucun barème n'est garanti.

Les chercheurs s'engagent à agir de bonne foi, ne pas exploiter la vulnérabilité au-delà de la démonstration, ne pas accéder ou modifier des données qui ne leur appartiennent pas, ne pas divulguer avant correction (délai par défaut de 90 jours), et ne pas utiliser d'attaques par force brute ou DoS. Wajub s'engage à ne pas engager de poursuites contre les chercheurs agissant de bonne foi (safe harbor) et à traiter les rapports avec professionnalisme.

Les rapports sont à envoyer à security@wajub.com. Un bon rapport contient : un titre clair, le type de vulnérabilité (CWE/OWASP), l'URL ou le composant concerné, les étapes de reproduction détaillées, une preuve de concept, l'impact potentiel et l'environnement de test. Wajub accuse réception des rapports, informe le chercheur de l'avancement du traitement et le prévient lorsque la correction est déployée.

Wajub se réserve le droit d'exclure un chercheur en cas de non-respect des règles, de divulgation publique prématurée, d'attaques au-delà du périmètre nécessaire, de tentative d'extorsion ou de chantage, ou de harcèlement envers l'équipe. Wajub se réserve le droit de modifier les termes du programme à tout moment ; les modifications sont publiées sur cette page.