Notre engagement
Protéger les fonds et les données de nos clients est au cœur de notre métier. Nous accueillons favorablement les signalements des chercheurs en sécurité et des clients qui découvrent une vulnérabilité dans nos systèmes, et nous travaillerons avec vous pour la comprendre et la corriger. Cette politique explique ce que vous pouvez tester, comment tester en toute sécurité et comment signaler vos découvertes.
Dans le périmètre
- Les sites publics sous
*.localpayment.com, y compris localpayment.com. - L’API Localpayment : Production (api.v3.localpayment.com) et Stage (api.stage.localpayment.com).
- Le Business Portal (ui.v3.localpayment.com).
Testez uniquement avec des comptes et des identifiants que vous êtes autorisé à utiliser. Si vous êtes client de Localpayment, testez dans votre environnement Stage plutôt qu’en Production. Certains sous-domaines *.localpayment.com sont exploités par des prestataires tiers ; si un signalement concerne l’un d’eux, nous nous coordonnerons avec le prestataire.
Hors périmètre
- Les attaques par déni de service, les tests de charge ou de stress, et tout test qui dégrade le service pour d’autres utilisateurs.
- L’ingénierie sociale, le phishing ou les tentatives physiques visant nos collaborateurs, nos bureaux, nos clients ou nos partenaires.
- Les services exploités par des tiers, comme les banques, les réseaux de cartes, les rails de paiement locaux ou notre canal éthique indépendant. Signalez ces problèmes au prestataire concerné.
- Les constats sans impact de sécurité démontrable, comme l’absence isolée d’en-têtes de sécurité ou d’attributs de cookies, les bannières de version, le clickjacking sur des pages sans action sensible, le self-XSS, le CSRF de déconnexion ou les résultats non vérifiés de scanners automatisés.
- Les signalements de configuration e-mail (SPF, DKIM, DMARC) sans exploit fonctionnel.
Règles d’engagement
- Pas de déni de service. N’effectuez aucun test susceptible de perturber ou de dégrader nos services, et limitez les analyses automatisées à un faible débit.
- Pas d’ingénierie sociale. Ne ciblez aucune personne — collaborateurs, clients ou partenaires — par phishing, usurpation de prétexte ou tout autre moyen.
- Pas d’exfiltration de données. N’accédez qu’au minimum de données nécessaire pour prouver le problème. Ne téléchargez, ne copiez, ne conservez, ne modifiez et ne supprimez aucune donnée. Si vous tombez sur des données personnelles, des données de titulaires de cartes ou des identifiants, arrêtez-vous et signalez-le immédiatement.
- Arrêtez-vous à la preuve. Une fois la vulnérabilité confirmée, arrêtez-vous. N’élevez pas vos privilèges, ne vous déplacez pas latéralement, n’établissez pas de persistance et n’enchaînez pas d’autres attaques sans notre accord écrit.
- Aucune transaction réelle. Ne déplacez jamais de fonds, ne créez pas de paiements ou de décaissements réels et n’interagissez pas avec des comptes qui ne vous appartiennent pas.
- Restez confidentiel. Ne partagez aucun détail du problème tant que nous ne l’avons pas corrigé et que nous n’avons pas convenu avec vous de sa divulgation.
- Agissez de bonne foi et dans le respect de la loi. Ne conditionnez pas votre signalement à un paiement ou à toute autre exigence.
Comment signaler
Écrivez à cybersecurity@localpayment.com avec l’objet « Vulnerability report » et un titre court. Nous lisons les signalements en anglais, en espagnol et en portugais. Merci d’indiquer :
- L’actif concerné : URL, point de terminaison de l’API, paramètre ou écran du Business Portal.
- Le type de vulnérabilité et son impact potentiel.
- Les étapes détaillées pour la reproduire.
- Une preuve de concept — requêtes et réponses, captures d’écran ou courte vidéo — en masquant toute donnée personnelle ou sensible.
- La date et l’heure de vos tests ainsi que les adresses IP utilisées, afin que nous puissions retrouver votre activité dans nos journaux.
- Votre nom ou pseudonyme, vos coordonnées, et si vous souhaitez être crédité.
N’incluez jamais de vrais numéros de carte, de mots de passe ou de données personnelles de tiers dans votre signalement. Décrivez-les plutôt.
À quoi vous attendre
- Accusé de réception. Nous confirmons rapidement la réception de votre signalement.
- Évaluation. Notre équipe sécurité valide le problème, évalue sa gravité et peut vous demander des précisions.
- Suivi. Nous vous tenons informé de l’avancement et vous prévenons lorsque le problème est résolu.
- Correction. Nous priorisons les correctifs selon le risque qu’ils représentent pour nos clients et leurs données.
- Divulgation coordonnée. Si vous prévoyez de publier vos résultats, nous convenons avec vous du calendrier une fois le correctif en place. Avec votre accord, nous serons heureux de saluer votre contribution.
Safe harbor
Localpayment n’engagera pas de poursuites contre les chercheurs qui découvrent et signalent des vulnérabilités de bonne foi et conformément à cette politique.
Contact lisible par machine (security.txt)
Nos coordonnées de sécurité sont également publiées dans un format lisible par machine, conformément à la RFC 9116, à l’adresse https://localpayment.com/.well-known/security.txt.
Autres demandes
- Soupçon de fraude, ou problème avec votre compte ou une transaction : support@localpayment.com, disponible 24h/24 et 7j/7.
- Questions d’éthique ou de manquement : notre canal éthique indépendant.