Politique de signalement des vulnérabilités

Signaler une vulnérabilité

Règles de divulgation responsable

• ne pas accéder volontairement aux données d’un tiers ;
• ne pas modifier, supprimer ou altérer des données ;
• ne pas interrompre ou dégrader le fonctionnement de nos services ;
• ne pas effectuer d’attaque par déni de service ;
• ne pas utiliser de techniques de hameçonnage ou d’ingénierie sociale ;
• ne pas tenter d’accéder aux locaux, aux équipements ou aux comptes de nos collaborateurs ;
• ne pas lancer de campagne automatisée massive, de brute force ou de scan agressif ;
• ne pas installer de logiciel malveillant ;
• limiter les tests au strict nécessaire pour démontrer l’existence de la vulnérabilité ;
• nous laisser un délai raisonnable pour analyser et corriger le problème avant toute publication.

Toute recherche doit être menée dans le respect de la législation applicable.

Périmètre concerné

La présente politique concerne principalement :

• le domaine sud-concept.com ;
• les sous-domaines directement administrés par SUD CONCEPT ;
• les formulaires accessibles depuis notre site ;
• les services numériques développés ou administrés directement par SUD CONCEPT.

Tests interdits

Les actions suivantes ne sont pas autorisées :

• attaques par déni de service ou saturation de ressources ;
• envoi massif de courriels ou de formulaires ;
• brute force sur les comptes, mots de passe ou codes de sécurité ;
• exploitation visant à maintenir un accès persistant ;
• extraction ou téléchargement massif de données ;
• modification du contenu du site ;
• suppression ou altération de fichiers ;
• dépôt de fichiers malveillants ;
• accès aux données personnelles de clients, prospects ou collaborateurs ;
• publication immédiate d’une vulnérabilité sans nous avoir préalablement contactés ;
• utilisation d’une vulnérabilité à des fins commerciales, frauduleuses ou malveillantes.

Traitement des signalements

Après réception d’un signalement suffisamment détaillé, SUD CONCEPT s’efforcera de :

• confirmer la bonne réception du message ;
• analyser la vulnérabilité signalée ;
• évaluer son niveau de risque ;
• mettre en œuvre les mesures correctives nécessaires ;
• informer le déclarant de l’avancement lorsque cela est possible ;
• confirmer la correction ou la réduction du risque après traitement.

Le délai de résolution dépendra notamment :

• de la gravité de la vulnérabilité ;
• de sa complexité ;
• des composants concernés ;
• de la nécessité éventuelle de solliciter un prestataire ou un éditeur tiers.

L’envoi d’un signalement ne garantit pas l’attribution d’une récompense financière.

Protection du déclarant

Lorsque le chercheur en sécurité :

• agit de bonne foi ;
• respecte la présente politique ;
• limite ses actions au strict nécessaire ;
• n’accède pas volontairement aux données d’un tiers ;
• ne perturbe pas les services ;
• nous informe rapidement de la vulnérabilité ;
• nous accorde un délai raisonnable avant toute divulgation ;

SUD CONCEPT considérera le signalement comme une démarche de divulgation responsable.

Cette politique ne constitue toutefois pas une autorisation générale de tester ou d’exploiter nos systèmes au-delà des conditions définies sur cette page.

Confidentialité

Les informations transmises dans le cadre d’un signalement seront utilisées uniquement pour :

• analyser la vulnérabilité ;
• communiquer avec le déclarant ;
• sécuriser les systèmes concernés ;
• assurer le suivi technique et juridique de l’incident.

Nous vous demandons de ne pas inclure dans votre signalement de données personnelles qui ne seraient pas indispensables à l’analyse.

Publication d’une vulnérabilité

Toute publication publique concernant une vulnérabilité doit être coordonnée avec SUD CONCEPT.

Avant toute divulgation, merci de nous laisser un délai raisonnable afin de :

• reproduire le problème ;
• évaluer son impact ;
• développer et tester une correction ;
• déployer les mesures nécessaires ;
• informer les éventuelles personnes concernées.

Les modalités de publication pourront être convenues avec le déclarant selon la gravité et la nature du problème.