Contact

Politique de sécurité

Pourquoi cette page ?

Ambris développe des sites e-commerce PrestaShop depuis 2012 et édite ses propres modules, utilisés par des marchands sur la marketplace PrestaShop Addons. Une faille dans un module peut exposer des centaines de boutiques à la fois. C’est pourquoi nous avons formalisé la façon dont nous recevons, traitons et rendons publiques les vulnérabilités.

PÉRIMètre

Cette politique couvre :

  • les modules édités par Ambris pour Prestahsop ;
  • les développements spécifiques réalisés pour nos clients.

Les signalements concernant le cœur de PrestaShop ou des modules tiers doivent être adressés à leurs éditeurs respectifs. Nous ne traitons pas les failles non reproductibles ni celles qui sortent de ce périmètre.

Signaler une vulnérabilité

Écrivez-nous à securite@ambris.com.

Pour que nous puissions agir vite, indiquez :

  • le module et la version concernés, ainsi que la version de PrestaShop et de PHP utilisée ;
  • la nature de la faille et son impact potentiel ;
  • les étapes permettant de la reproduire, et si possible une preuve de concept.

Chaque signalement est examiné par l’un de nos deux développeurs certifiés Experts PrestaShop et Ambris communiquera avec les parties concernées tout au long du processus.

Comment nous traitons un signalement

Conformément à la Charte TouchWeb pour une cybersécurité responsable, notre équipe applique les principes suivants :

  1. Accusé de réception : sous 7 jours au plus pour toute faille sérieuse (score CVSS de 7,5 ou plus).
  2. Analyse et reproduction : nous évaluons l’impact sur les différentes versions du module et de PrestaShop.
  3. Correctif : un plan de correction est établi sous 30 jours au plus.
  4. Information des utilisateurs : [comment vous prévenez les acheteurs du module : message sur Addons, email, note de version…].
  5. Publication : pour les failles notées 7,5 ou plus, un avis de sécurité est publié avec un identifiant CVE.

Nous ne corrigeons jamais une faille en silence : chaque correctif de sécurité est mentionné dans les notes de version.

Nos engagements envers les chercheurs

Nous adhérons à la Charte TouchWeb pour une cybersécurité responsable.

Concrètement :

  • nous n’engageons aucune poursuite contre les chercheurs qui agissent de bonne foi, y compris dans le cadre du programme YesWeHack opéré par TouchWeb SAS ;
  • aucun contrat que nous signons, y compris en marque blanche, ne peut empêcher la publication d’un avis de sécurité.

Cette transparence permet aux agences et aux marchands qui utilisent nos modules de remplir leurs propres obligations, notamment la conformité PCI-DSS ou le questionnaire SAQ-A.

Autorisation de publication par Touch WEB

Nous autorisons TouchWeb SAS à publier sur son site les informations relatives aux vulnérabilités corrigées dans nos modules : identifiant CVE, description du problème et de sa résolution, versions concernées et version corrigée, correctif applicable manuellement lorsque la mise à jour n’est pas possible.

blank

Historique des avis de sécurité

Aucune vulnérabilité n’a été signalée sur nos modules à ce jour.

Les avis éventuels seront listés ici, avec leur identifiant CVE et la version corrective.