Programme de prime aux bogues

Les Logiciels Presta rémunère les chercheurs en sécurité pour les vulnérabilités valides dans les systèmes qui nous appartiennent. Le programme est ouvert depuis le 1^er novembre 2026 et fonctionne en continu ; le responsable de la sécurité, Marco Presta, trie chaque signalement personnellement.

Portée

Dans la portée : prestasoftware.com, tous ses sous-domaines et tout autre service exposé à Internet que nous nommons sur cette page comme détenu et exploité par Presta. Hors portée, toujours : les systèmes de nos clients ou de tout tiers, les sites du gouvernement du Canada, les plateformes de nos fournisseurs (hébergement, DNS, courriel), le déni de service, l'ingénierie sociale, l'accès physique et les constats qui exigent un identifiant volé pour être reproduits.

Récompenses (CAD)

• Critique (exécution de code à distance, compromission complète d'un compte ou des données) : 500
• Élevée (contournement de l'authentification, injection persistante, exposition de données sensibles) : 250
• Moyenne (injection réfléchie, lacunes de contrôle d'accès, mauvaise configuration avec impact) : 100
• Faible (lacunes de durcissement avec un chemin démontré) : 25

L'enveloppe annuelle est de 2 000 $ CA ; le premier signalement valide d'un problème est celui qui est payé ; la gravité suit CVSS v4 selon notre jugement ; les doublons et les constats informatifs valent des remerciements et, si vous le souhaitez, votre nom sur cette page. Paiement par virement Interac ou PayPal dans les 30 jours suivant la validation.

Règles et protection

La recherche menée de bonne foi, dans cette portée et selon ces règles, est autorisée : nous n'engagerons aucune poursuite contre vous pour celle-ci et nous le dirons à quiconque le demande. Gardez un trafic raisonnable (pas d'inondation), arrêtez-vous et signalez dès que l'impact est démontré, ne lisez, ne modifiez ni ne conservez jamais des données qui ne sont pas les vôtres, et accordez-nous 90 jours avant toute divulgation. Signalez à [email protected] avec les étapes de reproduction ; notre contact lisible par machine est /.well-known/security.txt. Nous accusons réception sous 2 jours ouvrables et trions sous 10.

Non admissibles : le personnel et les contractuels de Presta, et toute personne dans un territoire où nous ne pouvons légalement payer. Nous pouvons modifier ou clore le programme avec un préavis de 30 jours sur cette page ; les signalements reçus avant un changement sont traités selon les conditions en vigueur à leur arrivée.