[Important Sécurité Avis] Faux sites web Qfinder Pro détectés. En savoir plus >
Search

Programme de prime à la sécurité

QNAP s’engage pour la cybersécurité et collabore avec ses partenaires et la communauté de sécurité afin d’assurer la sécurité des produits QNAP, offrant ainsi une tranquillité d’esprit accrue aux utilisateurs et protégeant les systèmes et les données des produits. Pour remercier les chercheurs qui identifient des problèmes de sécurité potentiels et contribuent à améliorer la sécurité des clients, QNAP propose des récompenses via son programme de prime à la sécurité.

Remerciements

Champ d’application du programme

Le programme de prime accepte uniquement les rapports de vulnérabilités de sécurité concernant les produits QNAP et les services en ligne. Tout rapport de sécurité hors du champ de ce programme n’est pas accepté et n’est pas éligible à une récompense. Ce programme n’accepte ni ne récompense les vulnérabilités de sécurité trouvées dans des logiciels tiers (par exemple, des QPKG tiers). Si vous découvrez un problème de sécurité dans ce type de logiciel, veuillez contacter directement le fournisseur ou le développeur concerné. Pour les autres problèmes de sécurité qui ne relèvent pas du champ de récompense de ce programme mais qui concernent les produits ou services QNAP, veuillez consulter le Politique de divulgation coordonnée des vulnérabilités pour savoir comment les signaler.

  • Systèmes d’exploitation

    Prime jusqu’à 20 000 $ US

    Les systèmes d’exploitation développés par QNAP — QTS, QuTS hero et QuTScloud — sont tous couverts par ce programme.

  • Applications

    Prime jusqu’à 10 000 $ US

    Applications officiellement développées par QNAP.

  • Services en cloud

    Prime jusqu’à 5 000 $ US

    Services cloud officiellement fournis par QNAP.

Comment signaler des problèmes de sécurité et des vulnérabilités ?

Veuillez chiffrer votre e-mail à l’aide du Clé publique PGP ci-dessous et l’envoyer à security@qnap.com. Le QNAP PSIRT contactera le chercheur de manière proactive pour confirmer la soumission.

Format recommandé pour le rapport de vulnérabilité

  • Systèmes d’exploitation

  • Applications

  • Services dans le Cloud

Clé de chiffrement PGP

Signaler une vulnérabilité

Critères d’éligibilité

  • Vous devez être le premier chercheur à signaler la vulnérabilité.

  • Vous n’avez pas divulgué publiquement la vulnérabilité.

  • Le personnel de QNAP confirme que la vulnérabilité que vous signalez est vérifiable, reproductible et qu'elle est éligible à une récompense.

  • Vous acceptez pleinement et respectez le Règles du programme de récompense.

  • Si vous avez accédé à des données non publiques de QNAP ou de ses utilisateurs lors de vos recherches, vous avez supprimé ces données conformément au Règles de conduite des tests et de gestion des données et fourni une déclaration écrite de suppression dans le délai requis.

Les montants des récompenses peuvent être ajustés en fonction des éléments suivants :

Facteurs de bonus

  • Suivez le format recommandé pour le rapport de vulnérabilité : veuillez fournir des informations nécessaires et suffisantes sur la vulnérabilité. Formats recommandés : Exemple de format du système d’exploitation, Exemple de format de l’application, Exemple de format du service cloud.

  • Étapes de reproduction : des étapes claires et détaillées à suivre.

  • Description du problème : un rapport de vulnérabilité bien organisé avec des paragraphes clairement structurés.

  • Informations complémentaires : éléments recommandés dans les exemples de format de rapport de vulnérabilité, ou toute autre information utile telle que du code de test, des scripts ou d'autres explications détaillées.

  • Fournissez la charge brute complète de l'exploit sous forme de texte : si la charge est fournie uniquement sous forme d'image, l'équipe PSIRT de QNAP ne peut pas garantir qu'elle pourra être reproduite correctement. Si une attaque valide ne peut pas être reproduite, la détermination de la vulnérabilité peut être invalidée.

Facteurs d'ajustement

  • Gravité des problèmes et ordre d'examen : QNAP PSIRT vérifie et corrige en priorité les problèmes selon leur gravité, en donnant la priorité à ceux qui ont un impact important sur les données des utilisateurs et les systèmes. La gravité est déterminée par le comité de récompense en se référant au score CVSS v3.1, combiné à l'exploitabilité réelle et à l'étendue de l'impact. Les problèmes jugés de faible gravité seront examinés après ceux de gravité élevée. Tous les problèmes confirmés affectant des produits encore sous période de support, quelle que soit leur gravité, seront inclus dans le calendrier de correction de QNAP.

  • Montant de la récompense selon la gravité : Les récompenses sont attribuées en fonction du niveau de gravité assigné au problème. Les récompenses pour les problèmes jugés de faible gravité seront ajustées en conséquence et seront inférieures à celles des problèmes de gravité élevée dans le même périmètre. Le montant publié pour chaque périmètre correspond au maximum pour ce périmètre, et n'est pas garanti pour chaque cas.

  • Si un problème est jugé de faible gravité et n'est qu'une suggestion d'amélioration de la sécurité sans impact réel (par exemple, recommandations de configuration, divulgation d'informations sur la version ou le chemin, rappels de bonnes pratiques), et que la vérification ne permet pas de démontrer qu'il peut effectivement être exploité pour causer un dommage, aucune récompense ne sera attribuée. Cependant, il est tout de même considéré comme un problème valide et vous serez inclus dans nos remerciements publics. Cela diffère de « non éligible à une récompense » (non accepté et non reconnu) ; la principale différence entre les deux est la fourniture de résultats d'exécution vérifiables. Pour les cas spécifiques non éligibles à une récompense, consultez les « Notes » pour chaque périmètre.

  • Doublons et problèmes d'origine identique : Si plusieurs rapports sont confirmés comme provenant de la même cause racine ou du même chemin de code, ou peuvent être résolus par la même correction, QNAP PSIRT peut les évaluer comme un seul cas. La récompense pour un cas fusionné est plafonnée à un seul montant pour le niveau auquel le cas appartient et ne s'accumule pas selon le nombre de rapports ; la récompense revient au premier rapport complet reçu.

  • Rapports ultérieurs du même type de problème : Les rapports ultérieurs d'un type de problème déjà accepté ou corrigé par QNAP (y compris les problèmes du même type dans différentes interfaces, paramètres ou modules) peuvent être traités comme des variantes du cas existant. Ces rapports seront tout de même reconnus individuellement comme des problèmes valides et recevront chacun un identifiant CVE, tandis que les récompenses seront attribuées pour la classe de problème dans son ensemble : les 1er à 10e rapports dans la même classe de problème reçoivent le montant complet pour leur niveau ; à partir du 11e rapport, 10 % du montant du niveau sont attribués. Le décompte est cumulatif pour tous les rapporteurs, sans période de comptage distincte. La « même classe de problème » est déterminée par la même classification CWE associée au même composant fonctionnel ou au même schéma de code. QNAP PSIRT vous informera de la détermination de la variante et du numéro de séquence cumulatif actuel pour cette classe de problème dans l'e-mail de confirmation de la vulnérabilité. Si vous n'êtes pas d'accord, vous pouvez nous écrire dans les 14 jours calendaires suivant la réception de l'e-mail.

  • Exhaustivité et reproductibilité du rapport : pour les rapports où le chercheur n’a pas re-vérifié le problème de façon indépendante, ou n’a fourni que la sortie brute d’un outil sans expliquer l’impact réel ni la méthode de reproduction, le QNAP PSIRT peut demander des informations supplémentaires. Tant que ces informations n’ont pas été fournies, le dossier sera examiné après ceux disposant d’informations complètes.

  • Impact réel sur la sécurité : les récompenses seront ajustées en conséquence pour les problèmes purement théoriques, nécessitant des conditions préalables très inhabituelles, ou ne pouvant démontrer un impact substantiel sur les données et les systèmes des utilisateurs.

Remerciements

Merci à tous les chercheurs pour votre expertise et votre engagement.

FAQ

Le mécanisme de récompense et le montant de la prime sont déterminés par l’équipe d’examen des primes, composée de membres du QNAP PSIRT, en tenant compte des facteurs suivants : la complexité de l’exploitation réussie de la vulnérabilité et la menace posée par la vulnérabilité, y compris le pourcentage d’utilisateurs et de systèmes affectés.

Oui. Si une vidéo facilite la compréhension de l’exploitation de la vulnérabilité, le comité des primes peut augmenter la récompense en conséquence. Veuillez noter qu’une documentation écrite est requise (par exemple, un document PoC et une explication complète), car cela aide à gérer le processus de divulgation de la vulnérabilité.

Un rapport de vulnérabilité doit au minimum inclure : le nom du produit affecté, sa version et son numéro de build, ou l’URL du service cloud ; un résumé de la menace potentielle de la vulnérabilité ; et des étapes détaillées et claires pour la reproduire, éventuellement accompagnées d’une vidéo pour reproduire la vulnérabilité.

Veuillez chiffrer votre rapport en utilisant la clé publique PGP fournie par QNAP et l’envoyer à security@qnap.com. Une fois l’e-mail reçu, le système répondra automatiquement avec un numéro de ticket technique, que le chercheur pourra utiliser pour vérifier l’avancement de l’examen.

L’équipe PSIRT QNAP contactera de manière proactive le chercheur afin de confirmer si la soumission est complète. Pour les cas où toutes les informations sont complètes et évalués initialement comme étant de gravité élevée, le chercheur recevra en principe un e-mail de confirmation de vulnérabilité du PSIRT QNAP dans un délai d’une semaine après la validation des informations, incluant l’identifiant CVE attribué au rapport.

Une proposition de récompense sera envoyée par e-mail quatre semaines après l’envoi de l’e-mail de confirmation de vulnérabilité. Si le chercheur accepte la proposition, QNAP prévoit de finaliser le paiement dans les douze semaines suivant la réception de la réponse de confirmation.

Lors de la vérification, le PSIRT QNAP analyse la cause racine de chaque cas. Si plusieurs rapports sont confirmés comme provenant de la même cause racine, du même chemin de code ou du même schéma de conception, ils seront traités comme un seul cas et la récompense sera attribuée au premier rapport complet reçu ; si un rapport ultérieur fournit des informations supplémentaires sur l’impact en matière de sécurité, nous en tiendrons compte. Pour les problèmes du même type nécessitant chacun une correction indépendante, nous les reconnaîtrons individuellement et attribuerons des identifiants CVE distincts ; les récompenses seront accordées pour la classe de problème dans son ensemble, les 1er à 10e rapports recevant le montant total du niveau, et à partir du 11e rapport, 10 % du montant du niveau. Le décompte est cumulatif pour tous les chercheurs.

Oui. QNAP respecte toutes les méthodes de recherche ; ce qui nous importe, c’est la qualité du rapport lui-même. Quel que soit l’outil utilisé, veuillez revérifier le problème vous-même avant de soumettre, et inclure les étapes de reproduction ainsi que l’impact réel sur la sécurité dans le rapport. Pour les rapports qui ne comportent que la sortie brute de l’outil, qui n’ont pas été vérifiés ou qui n’expliquent pas l’impact, nous pourrions vous demander des informations supplémentaires, et ils seront examinés après les cas avec des informations complètes. Les rapports évalués comme n’ayant aucun impact réel sur la sécurité ne seront pas éligibles à une récompense.

QNAP accorde la priorité à ses ressources pour les problèmes ayant un impact significatif sur les données et les systèmes des utilisateurs. Ainsi, les problèmes de faible gravité sont vérifiés et traités après ceux de gravité élevée, et les récompenses sont ajustées selon leur niveau de gravité. Cela n’affecte pas la façon dont nous traitons le problème — tous les problèmes confirmés sont inclus dans le calendrier de remédiation. Si vous estimez que l’évaluation ne reflète pas l’impact réel, veuillez envoyer un e-mail à security@qnap.com avec des informations susceptibles d’augmenter l’évaluation de l’impact, telles que des prérequis de privilèges plus faibles, une gamme plus large de versions affectées, ou une explication sur la façon dont le problème peut être combiné avec d’autres pour former une chaîne d’attaque complète.

Si votre problème est une suggestion d’amélioration de la sécurité qui ne cause aucun dommage réel, nous vous inclurons tout de même dans nos remerciements publics, mais aucune récompense ne sera attribuée.

Veuillez cesser immédiatement tout accès supplémentaire. Dans la description de l'impact de votre rapport, indiquez les noms des tables ou des endpoints concernés, les noms des champs et le nombre d'enregistrements, et si nécessaire, joignez un échantillon masqué. Il n'est pas nécessaire — et veuillez ne pas — joindre de fichiers de données brutes.

Après avoir soumis votre rapport, veuillez supprimer toutes les copies sous 7 jours calendaires et envoyer par e-mail une déclaration de suppression signée indiquant la portée des données supprimées, la date et l'heure de la suppression, la méthode de suppression, et confirmant que tous les emplacements de stockage listés dans le Règles de conduite des tests et de gestion des données ont été couverts. Cette déclaration est une condition préalable pour recevoir une récompense.

La déclaration peut utiliser le nom ou le pseudonyme de recherche que vous avez utilisé lors du signalement ; aucune autre preuve d'identité n'est requise. Si les politiques de votre organisation vous empêchent de signer en votre nom, une personne de contact de votre organisation peut l'émettre en votre nom, ou vous pouvez répondre par e-mail en confirmant chaque point. Si la déclaration n'est pas fournie dans le délai imparti, nous enverrons d'abord un rappel par e-mail et suspendrons l'évaluation de la récompense pour le cas.

Décrire précisément l'étendue de votre accès n'affectera pas votre éligibilité à une récompense ; au contraire, cela aide QNAP à évaluer correctement l'impact et à prendre les mesures nécessaires.

Abonnement aux avis de sécurité

Nous recommandons de vous abonner aux avis de sécurité QNAP pour recevoir en priorité les informations de sécurité !

Abonnez-vous maintenantComment lire les avis de sécurité

Dernière mise à jour : 31/08/2026. Les conditions de ce programme peuvent être modifiées de temps à autre ; la dernière version publiée sur cette page prévaut.

Choisissez une spécification

      En voir davantage Moins
      Ce site est disponible dans d'autres pays/régions :
      back to top