Divulgation responsable
Comment signaler à notre équipe un problème de sécurité présumé.
Si vous pensez avoir découvert une faiblesse de sécurité dans CostGuard, nous souhaitons en être informés. Cette page explique ce qu'il est utile de signaler, comment le signaler sans risque, et ce à quoi s'attendre ensuite. Les signalements nous parviennent par la page Contact publique existante.
Ce qu'il faut signaler
Les signalements utiles décrivent une faiblesse précise dans l'application CostGuard ou sur son site web public : un moyen d'atteindre des données qui ne devraient pas être accessibles, une faille d'authentification ou d'autorisation, un moyen d'élever ses privilèges dans le produit, ou une erreur dans la façon dont le site gère l'état de session ou de consentement. Les signalements portant sur Microsoft Azure lui-même relèvent de Microsoft.
Comment signaler sans risque
Envoyez une brève description, les étapes nécessaires pour observer le problème et la page ou la fonctionnalité concernée par la page Contact. Limitez vos tests à votre propre compte et à vos propres données, arrêtez-vous dès que vous avez montré que le problème existe, et évitez tout ce qui dégrade le service ou affecte d'autres clients.
Les informations à ne pas inclure
N'envoyez pas de mots de passe, de jetons d'accès, de clés API, de certificats, de chaînes de connexion ni d'autres secrets. N'envoyez pas de données clients de production, de données de coûts exportées appartenant à une autre organisation, ni de captures d'écran exposant de telles données. Ne joignez pas d'outillage d'attaque et n'effectuez pas d'actions destructrices à titre de preuve.
Examen et attentes en matière de communication
Les signalements sont examinés par l'équipe CostGuard et reçoivent une réponse par la même voie Contact. Nous n'exploitons aucun programme de récompense rémunéré, cette page n'indique aucun délai de réponse ou de résolution, et elle n'offre aucune protection juridique pour les activités de test. Nous partagerons ce que nous pouvons à mesure que l'examen avance.
Ce que cette page n'est pas
Cette page décrit comment nous joindre, pas un engagement contractuel. Elle n'est pas un programme de récompense, pas un engagement de service, pas une déclaration sur la couverture de la surveillance, et pas une protection juridique pour les activités de test. Tout engagement applicable à votre compte découle de l'accord applicable à votre compte.