RESPONSIBLE DISCLOSURE PROGRAM
En tant que leader de la banque numérique, Swissquote se préoccupe énormément de la sécurité des informations.
Préserver la confidentialité, l’intégrité et la disponibilité de nos systèmes et services est essentiel pour nos activités au quotidien.
Le programme
Le Groupe Swissquote ne propose actuellement pas de programme de récompense pour le signalement de bugs et n’autorise pas la recherche active de failles dans ses sites internet et ses services. Néanmoins, si vous veniez à trouver une faille de sécurité, nous vous serions reconnaissants de bien vouloir nous la communiquer de manière volontaire et responsable.
Le signalement doit se faire par e‑mail à l’adresse vulnerability_disclosure@swissquote.ch, avec toutes les informations que vous jugez nécessaires pour expliquer le problème et la manière dont vous l’avez trouvé.
Le signalement d’une faille doit normalement fournir les informations suivantes :
- une description de la faille et de son impact potentiel,
- la liste des serveurs, services ou URL affectés,
- les étapes nécessaires pour reproduire la faille,
- la manière dont vous avez trouvé la vulnérabilité,
- vos coordonnées de contact.
Merci de ne signaler qu’une seule faille par rapport, à moins qu’une suite de failles ne soit nécessaire pour un effet réel. Nous accuserons réception de votre signalement ; toutefois, nous ne fournirons pas d’autres informations sur nos conclusions.
Strictly Forbidden Activities
As stated above, active research of vulnerabilities (e.g., scans) is not authorised. Also note that the following activities are strictly forbidden and monitored:
- any activity that could lead to the disruption of our services (DoS, DDoS, spam, etc...);
- any activity that would threaten the integrity of user data;
- any activity that would breach the confidentiality of user data;
- usage of automated tools to find vulnerabilities;
- any fraudulent transaction.
Swissquote Group reserves the right to bring any legal action against any person acting in a manner considered as illegal, illicit or as infringing the above.
Scope
This program applies to the following:
- domains where Swissquote Group Holding SA is listed as the Registrant Organisation, more specifically domains under "swissquote.ch" and "swissquote.com"; "library.swissquote.com" is excluded from the above;
- domains where YUH SA is listed as the Registrant Organisation;
- mobile applications published by Swissquote Mobile on the Android Play Store;
- mobile applications published by Swissquote on the Apple Store.
Certain vulnerabilities are considered out of scope for this program. These include:
- outdated or vulnerable software versions if no clear exploitability can be demonstrated;
- bugs requiring non‑trivial prior knowledge, such as a session token, as prerequisite;
- missing best practices in SSL/TLS configuration;
- social engineering related issues;
- physical security of Swissquote Group property.