Politique de divulgation responsable

Politique de divulgation responsable de PrepStack

Dernière mise à jour : 13 octobre 2026

1. Notre engagement

PrepStack accueille les signalements de bonne foi qui contribuent à protéger les personnes, les restaurants, les clients professionnels et nos services. Nous examinerons les signalements, enquêterons sur les problèmes touchant les systèmes que nous exploitons et collaborerons avec les chercheurs en vue d’une divulgation coordonnée.

Cette politique explique où et comment signaler une vulnérabilité présumée et les précautions que nous demandons aux chercheurs de respecter. Elle n’autorise pas les tests de systèmes hors du périmètre ci-dessous, l’accès aux informations d’autrui ni la perturbation d’un service.

2. Périmètre

Les noms d’hôte suivants apparaissent dans le code source ou la configuration des produits. Ils constituent un périmètre proposé, à vérifier ; cette liste ne fait foi qu’après confirmation par PrepStack de la propriété, de l’utilisation en production et de l’autorisation d’inclure chaque hôte.

Seuls les noms d’hôte expressément indiqués ici sont dans le périmètre. Un point d’accès d’API est couvert uniquement s’il est servi depuis un nom d’hôte répertorié et exploité par PrepStack. Les jokers, domaines similaires, sous-domaines non répertoriés, adresses IP, comptes cloud, applications mobiles et environnements de développement ou de préproduction sont exclus, sauf si PrepStack les ajoute à cette politique ou donne une autorisation écrite. Le fait qu’un service PrepStack se connecte à un autre système ne fait pas entrer ce système dans le périmètre.

Systèmes exclus

À moins que leur propriétaire n’autorise séparément ces tests par écrit, ne testez pas :

• Les systèmes de point de vente (POS) des restaurants, leurs réseaux, appareils, bases de données ou comptes, y compris les systèmes connectés aux intégrations PrepIQ.
• Les prestataires de paiement, fournisseurs d’identité, fournisseurs d’hébergement ou de services cloud, boutiques d’applications, fournisseurs d’analytique, opérateurs de télécommunications et tout autre service tiers.
• Les comptes, appareils, données ou identifiants de clients, restaurants, membres du personnel, chercheurs ou autres personnes.
• Tout domaine, point de terminaison ou élément d’infrastructure qui n’est pas expressément indiqué dans le tableau du périmètre.

Tester le connecteur ou le code d’intégration propre à PrepIQ n’autorise pas à tester le POS d’un restaurant ni le service d’un fournisseur de POS. Si vous ne savez pas si une cible est dans le périmètre, demandez confirmation à PrepStack via le canal de signalement de sécurité vérifié avant tout test.

3. Comment signaler une vulnérabilité

La page Sécurité de PrepIQ, actuellement en ligne, indique customer@prepiq.net avec l’objet Security report pour les signalements de vulnérabilités. C’est le seul canal public trouvé lors de notre revue. Avant de l’utiliser pour les signalements concernant toute l’entreprise, PrepStack doit confirmer que la boîte est surveillée et que son responsable est autorisé à recevoir les signalements relatifs aux systèmes concernés. N’envoyez pas de signalement à une adresse devinée à partir d’un domaine.

Dans la mesure du possible, indiquez :

• Une brève description de la vulnérabilité présumée et de son impact potentiel.
• Le nom d’hôte, la page, l’API ou le composant concerné, ainsi que la version ou l’environnement si vous les connaissez.
• Des étapes de reproduction claires, limitées aux requêtes ou actions nécessaires pour démontrer le problème.
• Une preuve de concept utilisant votre propre compte de test et vos propres données, sans recueillir ni exposer les informations d’autrui.
• Votre moyen de contact préféré et, le cas échéant, le calendrier de divulgation que vous proposez.

N’incluez pas de mots de passe, jetons d’accès, données de paiement, dossiers clients ni données personnelles non nécessaires. Si votre recherche vous donne accès de manière inattendue à de telles informations, arrêtez-vous, ne les copiez pas et ne les partagez pas. Indiquez-nous uniquement ce qui est nécessaire pour localiser et protéger le système concerné.

4. Règles de recherche

Lorsque vous examinez un système dans le périmètre, veuillez :

• Agir de bonne foi et utiliser la méthode la moins intrusive permettant de vérifier le problème.
• Utiliser uniquement les comptes et données qui vous appartiennent ou que vous êtes expressément autorisé à utiliser.
• Arrêter les tests dès que vous disposez de suffisamment d’informations pour expliquer le problème.
• Arrêter et nous avertir rapidement si vous accédez au compte d’une autre personne, à des informations privées, à des données commerciales de restaurant, à des informations de paiement ou à des identifiants.
• Garder confidentiels les détails de la vulnérabilité et les éléments de preuve pendant notre enquête et la coordination de la divulgation.
• Supprimer les informations obtenues par inadvertance, à l’exception des notes non sensibles strictement nécessaires pour décrire le signalement.

Ne faites pas ce qui suit :

• Exfiltrer, conserver, modifier, supprimer ou publier des données ; créer un compte sous l’identité d’autrui ; ou accéder à un compte ou une ressource sans l’autorisation de son propriétaire.
• Effectuer des attaques par déni de service, épuiser les ressources, mener des tests destructifs, perturbateurs ou à grande échelle, ou lancer des scans susceptibles d’affecter la disponibilité.
• Utiliser l’hameçonnage, l’ingénierie sociale, l’intrusion physique, des logiciels malveillants, des mécanismes de persistance, le bourrage d’identifiants, la force brute ou des attaques visant le personnel ou les utilisateurs.
• Tester un service tiers, un POS, l’environnement d’un restaurant, un fournisseur d’intégration ou toute autre cible exclue, même si celle-ci est liée à un produit PrepStack ou connectée à ce produit.
• Divulguer publiquement une vulnérabilité non publique ou des éléments permettant d’identifier les systèmes concernés avant coordination avec PrepStack, sauf si la loi l’exige.

5. Protection juridique

Si vous agissez de bonne foi, respectez cette politique et limitez vos recherches à un système expressément inclus dans le périmètre que PrepStack possède ou contrôle, PrepStack entend considérer cette activité comme autorisée dans la mesure de ses propres droits et de son contrôle. PrepStack n’engagera ni ne soutiendra de poursuites contre vous uniquement pour des recherches conformes à cette politique.

Cette déclaration n’autorise aucun acte interdit par la loi, n’accorde aucune permission au nom d’un tiers et n’empêche aucun tiers d’exercer ses propres droits. Elle ne protège pas les activités hors périmètre ni celles qui ne respectent pas ces règles. Si vous doutez de l’autorisation d’un test envisagé, ne le commencez pas avant d’avoir obtenu une confirmation écrite de PrepStack par l’intermédiaire du canal de sécurité vérifié.

6. Suite donnée aux signalements

Nous examinerons les signalements de bonne foi, pourrons demander des précisions et enquêterons sur les problèmes touchant les systèmes que nous exploitons. Dans la mesure du raisonnable, nous informerons le chercheur de l’avancement et coordonnerons la correction ainsi que la divulgation publique, en tenant compte de la sécurité des utilisateurs et de l’impact sur la sécurité. Nous ne garantissons aucun délai particulier de réception, de correction ou de divulgation. Un signalement ne garantit pas que PrepStack reconnaîtra l’existence d’une vulnérabilité ou apportera une modification précise.

Veuillez nous laisser un délai raisonnable pour évaluer et traiter un signalement avant de publier des détails techniques. Nous ne demanderons pas un secret indéfini ; nous conviendrons avec vous d’un plan de divulgation pratique. Ne publiez pas de détails non publics avant la date de divulgation coordonnée convenue avec PrepStack, sauf si la loi l’exige.

7. Confidentialité et récompenses

Nous utiliserons les détails du signalement et les éléments de preuve associés pour évaluer, reproduire et corriger le problème signalé, protéger les personnes et les systèmes concernés et respecter nos obligations légales. Limitez les éléments de preuve au strict nécessaire et évitez d’envoyer des données sensibles. Nous pouvons conserver le signalement et les échanges associés à des fins de sécurité, d’audit ou pour satisfaire à des obligations légales.

Cette politique ne promet aucun paiement, prime, cadeau ni autre récompense. Tout programme de récompenses distinct serait régi par ses propres conditions publiées, notamment ses critères d’éligibilité et de paiement. Les chercheurs assument leurs propres frais.

8. Contact et mises à jour

Pour signaler une vulnérabilité présumée, écrivez à customer@prepiq.net avec l’objet Security report, comme indiqué actuellement sur la page Sécurité de PrepIQ. Avant publication, confirmez que ce canal est surveillé pour les signalements concernant les systèmes listés dans cette politique.

Nous pouvons mettre à jour cette politique lorsque nos produits, systèmes ou procédures de divulgation évoluent. La date de dernière mise à jour indique la révision la plus récente. La version applicable est celle publiée au moment de vos recherches, sous réserve de toute autorisation écrite que nous vous avons accordée.

---

Vérifications internes avant publication — supprimer cette section avant publication

1. Confirmer que customer@prepiq.net est surveillée et autorisée à recevoir les signalements concernant tous les systèmes PrepStack, PrepOrder et PrepIQ inclus. Sinon, configurer et tester un canal approprié, puis mettre à jour cette politique et le fichier security.txt avant publication.
2. Vérifier les noms d’hôte du périmètre proposé par rapport à l’inventaire des domaines et des ressources cloud de l’entreprise. Décider explicitement si les API PrepOrder et PrepIQ, les applications mobiles, les ressources de préproduction ou le logiciel du connecteur sont inclus ; énumérer exactement les ressources approuvées et éviter les jokers.
3. Faire examiner la clause de protection juridique, le droit local relatif aux infractions informatiques et l’autorisation accordée aux chercheurs par un conseil qualifié.
4. Déployer le fichier public/.well-known/security.txt du dépôt, puis vérifier qu’il est accessible à l’adresse https://prepstak.com/.well-known/security.txt et que le contact indiqué est surveillé. Ajouter un fichier security.txt sur d’autres domaines couverts uniquement s’ils sont contrôlés par PrepStack et que la politique y est approuvée. Maintenir la date d’expiration. La RFC 9116 définit le format lisible par machine.
5. Confirmer si un programme de récompenses existe. Si un tel programme est créé, publier ses règles distinctes avant d’accepter des demandes de prime.