Signaler une vulnérabilité de sécurité
Si vous découvrez une faille de sécurité dans nos systèmes, nous vous invitons à nous la signaler de manière responsable. Nous prenons chaque rapport au sérieux et nous nous engageons à y donner suite.
Règles du programme
Quatre principes pour une collaboration constructive.
Embargo convenu
Nous vous demandons de ne pas divulguer publiquement la vulnérabilité avant sa correction, selon un délai convenu avec vous. Nous nous engageons à vous tenir informé du statut de la correction.
Tests autorisés
Vous êtes autorisé à tester sur la sandbox publique et les domaines getinopay.com / api.getinopay.com / app.getinopay.com, sans extraire de données réelles ni perturber le service. Aucune ingénierie sociale sur nos équipes ou partenaires.
Hors scope
Attaques DoS / DDoS, ingénierie sociale, vulnérabilités sur des applications tierces de partenaires, scans automatisés sans tentative d'exploitation réelle, vulnérabilités déjà connues du public.
Soumission
Envoyez un rapport détaillé à security@getinopay.com : description de la faille, étapes de reproduction, impact estimé, et votre handle ou nom pour le hall of fame (optionnel). Nous accusons réception dans les meilleurs délais et procédons au triage selon nos priorités opérationnelles.
Reconnaissance des chercheurs
Toute récompense financière est accordée à la seule discrétion d'Inopay, après confirmation de la validité de la vulnérabilité et déploiement du correctif. Elle ne constitue pas un engagement contractuel.
| Sévérité | Reconnaissance | Exemple |
|---|---|---|
Critique | Récompense financière discrétionnaire + Hall of fame | RCE serveur, accès admin non autorisé, contournement complet de l'authentification. |
Élevée | Récompense financière possible + Hall of fame | Injection SQL, IDOR exposant des données KYC d'autres utilisateurs, contournement MFA. |
Moyenne | Remerciement + Hall of fame | XSS stockée, IDOR sur ressources non critiques, fuite mineure d'informations techniques. |
Faible | Remerciement public | XSS reflété sans contexte sensible, clickjacking sur pages non critiques, en-têtes de sécurité manquants sans impact réel. |
Périmètre
Domaines couverts
getinopay.com (site public) · api.getinopay.com (API et environnement sandbox) · app.getinopay.com (portail partenaires). Les bibliothèques clientes publiées officiellement par Inopay Group sur les registres publics.
Hors périmètre
Applications tierces des partenaires SGI · sites des régulateurs (BRVM, AMF-UMOA, BCEAO) · infrastructure cloud sous-jacente · services SaaS tiers (CDN, email, monitoring) · vulnérabilités déjà corrigées dans les versions récentes.
Hall of fame
Aucun signalement enregistré à ce jour
Le hall of fame liste les chercheurs en sécurité ayant contribué à améliorer la sécurité d'Inopay. Le programme vient d'ouvrir.
Vous avez trouvé quelque chose ?
Contactez notre équipe sécurité. Nous accusons réception de chaque signalement et en assurons le suivi selon nos priorités opérationnelles.